El grupo chino Volt Typhoon utiliza un marco llamado "Silent Train", una red de dispositivos comprometidos que actúan como relevos para ocultar el origen de sus ataques. Esta infraestructura se usa para atacar sectores críticos en EE. UU. (especialmente en California, Texas y Hawái) mediante el uso de vulnerabilidades *zero-day*. Los atacantes borran sus rastros tras cada operación, buscando establecer acceso persistente para causar disrupciones en futuros conflictos.





El grupo de hacking patrocinado por el estado chino Volt Typhoon ha estado utilizando un framework que se basa en cadenas rotativas de dispositivos conectados comprometidos bajo demanda, incluso para ataques de día cero dirigidos a sistemas de alto valor.

El framework ha sido apodado Silent Train porque el actor de amenazas lo utiliza contra objetivos seleccionados, lo limpia después de cada operación y lo actualiza continuamente.

Investigadores de Black Lotus Labs, la división de investigación de amenazas de la empresa de comunicaciones Lumen, han estado rastreando Silent Train durante tres años y confirmaron que Volt Typhoon explotó al menos cuatro vulnerabilidades de día cero en ataques dirigidos a infraestructura de borde y gestión.

Los objetivos incluyen empresas de telecomunicaciones, agencias gubernamentales, contratistas de defensa, institutos educativos, servicios públicos/infraestructuras críticas, proveedores de servicios satelitales, empresas de TI, MSP, transporte, aviación y servicios de emergencia.

Las observaciones de Black Lotus Labs indican que las regiones más atacadas son California, Texas y Hawái, lo que sugiere un enfoque en asuntos del Indo-Pacífico.




Mapa de víctimas
Fuente: Black Lotus Labs

Volt Typhoon atacó previamente la infraestructura crítica de EE. UU., incluyendo comunicaciones, energía, transporte y sistemas de agua, con la advertencia de CISA de que busca establecer acceso para una posible interrupción durante una futura crisis o conflicto.

Según los investigadores, el despliegue de Silent Train fue impulsado en parte por la interrupción del FBI de KV-Botnet, una botnet que Volt Typhoon utilizaba para evadir la detección al atacar infraestructuras críticas en los EE. UU.




Comparación de actividad a lo largo del tiempo
Fuente: Black Lotus Labs

Silent train relay network

Silent Train es prácticamente una infraestructura de retransmisión formada por dispositivos comprometidos que Volt Typhoon utiliza para ocultar el origen de sus ataques.

Los operadores dirigen su actividad a través de infraestructura VPS fuera de los Estados Unidos, luego la pasan a través de dispositivos hackeados como routers que actúan como relevos intermedios antes de lanzar los ataques.

Black Lotus Labs afirma que los módems Intelbras sirvieron como relevos en el extranjero, mientras que los dispositivos Netgear Orbi actuaron como saltos en los EE. UU.



Descripción general del ataque de Silent Train
Fuente: Black Lotus Labs

El uso de Silent Train por parte del actor de amenazas implica la explotación de vulnerabilidades, el robo de credenciales, la exfiltración de datos y el mantenimiento de acceso remoto persistente a los sistemas comprometidos.

Al monitorear la actividad de Silent Train, los investigadores pudieron observar exploits de día cero para los siguientes productos:

• * CVE-2026-16812 – VeloCloudOrchestrator
• * CVE-2026-20127 – Cisco Catalyst SD-WAN
• * CVE-2025-8875 y CVE-2025-8876 – N-able N-central
• * CVE-2024-39717 – Versa Director
• * Quest KACE (sospecha de día cero)

Comprometer estas plataformas otorga a los actores de amenazas un control administrativo amplio, permitiendo el robo de credenciales, el acceso remoto y el alcance a los clientes finales sin el movimiento lateral "ruidoso" que podría activar la detección.



Cronología de explotación
Fuente: Black Lotus Labs

“Para construir estas sesiones, sus operadores explotan interfaces web expuestas en dispositivos SOHO, IoT y otros dispositivos de retransmisión, luego despliegan solo las herramientas necesarias para habilitar el acceso SSH encadenado a través del nodo comprometido”, explica Black Lotus Labs en un informe hoy.

“Esto incluyó servicios SSH temporales, claves, archivos de configuración y utilidades 'live off the land'”.

Después de que finaliza la sesión, normalmente en menos de 8 horas, los actores de amenazas eliminan todas sus herramientas, claves y archivos de configuración de los relevos desechables.

A principios de 2025, los investigadores notaron que el framework se volvió híbrido, utilizando relevos desechables junto con sistemas empresariales comprometidos que se mantenían entre uno y tres meses.

Black Lotus Labs cree que Silent Train estaba reservado para objetivos de alto valor y operaciones manuales cuidadosas realizadas en la zona horaria de China Standard Time (CST). El uso de días cero contra esos objetivos refuerza aún más esta suposición.

Los investigadores recomiendan reforzar la seguridad en torno a los sistemas de gestión centralizados, restringir el acceso a internet a las interfaces administrativas, parchear rápidamente las vulnerabilidades y centralizar los registros con una retención más larga.

También aconsejan monitorear actividades administrativas inusuales, revisar las conexiones confiables que podrían exponer redes de clientes o socios y seguir las guías de CISA y NCSC sobre Volt Typhoon.

Fuente:
BleepingComputer