Lumen связал сеть Silent Train с четырьмя кампаниями, использующими уязвимости нулевого дня

Исследователи Black Lotus Labs из Lumen раскрыли, что связанная с Китаем хакерская группа Volt Typhoon использовала скрытую сеть под названием Silent Train в четырех подтвержденных кампаниях с использованием нулевых уязвимостей.

Хакеры атаковали платформы, управляющие целыми сетями, а не отдельными компьютерами. Получив доступ к одной из таких систем, они могли получить контроль над телекоммуникационными, оборонными и другими критически важными инфраструктурными сетями.

Исследователи предупредили:

«Системы с широкими административными правами могут стать высокоценными шлюзами для доступа ко всей организации и её клиентам».

Временная сеть, созданная, чтобы исчезнуть

Silent Train была разработана так, чтобы оставлять минимум следов. Её операторы связывали взломанные домашние роутеры, подключённые устройства и корпоративные системы для проведения атак. После завершения операции они разрывали эти связи и стирали доказательства своей деятельности. В среднем каждая сессия длилась около четырёх часов.

Silent Train был впервые обнаружен во второй половине 2023 года. Его активность возросла после того, как власти разрушили предыдущий KV-botnet группы Volt Typhoon в начале 2024 года.

За три года Black Lotus Labs направила тысячи уведомлений пострадавшим организациям. Среди отраслей, затронутых хакерской группировкой, — телекоммуникации, оборонная промышленность, спутниковая связь, энергетика, транспортный сектор и водное хозяйство. Особый интерес вызывали цели, расположенные на Гавайях, в Техасе и Калифорнии.

Четыре кампании, пять уязвимостей CVE

Четыре подтверждённые кампании Silent Train были направлены на программное обеспечение, используемое для управления целыми сетями.

Первая кампания была связана с Versa Director, где уязвимость CVE-2024-39717 позволяла злоумышленникам с привилегированным доступом загружать вредоносные файлы. Ошибка была раскрыта компанией Versa в августе 2024 года.

В 2025 году злоумышленники атаковали N-able N-central через две уязвимости: CVE-2025-8875 и CVE-2025-8876. Для эксплуатации обеих требовалась аутентификация.

Кампании 2026 года были направлены на две платформы управления SD-WAN. Cisco раскрыла информацию об уязвимости CVE-2026-20127 25 февраля. Имея оценку 10.0, эта уязвимость позволяла злоумышленникам получать административные права без аутентификации. Arista раскрыла другую уязвимость с оценкой 10.0 — CVE-2026-16812, затрагивающую VeloCloud Orchestrator, 27 июля.

Все четыре поставщика выпустили исправления. Однако Lumen зафиксировала продолжающуюся эксплуатацию уязвимости Cisco после её раскрытия.

Почему доступ является ключевым фактором

Деятельность группы Volt Typhoon прослеживается как минимум с середины 2021 года. Microsoft публично идентифицировала эту группу в мае 2023 года, сообщив о проникновении в сети критической инфраструктуры на Гуаме и материковой части США.

Беспокойство выходит за рамки кражи информации.

В январе 2026 года в ходе анализа исследователь IISS Джон Брюс отметил:

Подавляющее большинство сетей, атакованных Volt Typhoon, представляло мало ценности для китайского правительства в плане сбора иностранной разведывательной информации.

Брюс указал на сбор группой сетевых диаграмм и руководств по эксплуатации как на доказательство подготовки к возможным деструктивным действиям. Гуам особенно чувствителен, поскольку его военные объекты будут иметь важное значение в случае потенциального конфликта вокруг Тайваня.

Это всё ещё оценки намерений группы, а не доказательства приказа об атаке.

Концентрация — это экспозиция риска

Общая картина кибербезопасности помогает понять опасность.

Отчет Verizon за 2026 год, охвативший более 31 000 инцидентов, показал, что эксплуатация уязвимостей стала основным путем проникновения в организации. На системные вторжения пришлось 61% подтвержденных нарушений безопасности.

Когда злоумышленники получают контроль над программным обеспечением, управляющим несколькими сетями, потенциальный ущерб распространяется за пределы одной организации.

Финансовые последствия остаются неопределенными. МВФ предупредил, что взаимосвязанные финансовые системы сталкиваются с растущими киберрисками. Однако прямые рыночные потери пока не были связаны с Silent Train.

Отдельно, Cryptopolitan сообщил об еще одной эксплуатируемой уязвимости VeloCloud — CVE-2026-114625, имеющей оценку 9.9 и исправленной 22 октября. Она отличается от уязвимости, которую Lumen связал с Silent Train.