В свежем разборе The Hacker News лаборатория Black Lotus Labs, подразделение Lumen Technologies, относит скрытую сеть доступа Silent Train к группе Volt Typhoon. С конца 2023 года схема обслуживает эксплуатацию уязвимостей, доступ к учётным данным, вынос данных и удержание входа. Главная цель не рабочее место, а панели управления: консоли, с которых виден большой контур сразу. Оркестратор SD-WAN, система управления сетью и открытый веб-интерфейс SOHO здесь и есть поверхность атаки.

Зачем Volt Typhoon нужны панели управления, а не рабочие места?

Группа Volt Typhoon через сеть Silent Train брала панели управления, потому что с них открывается сразу много подчинённых систем. Black Lotus Labs описывает цель прямо: платформы, которые дают масштабируемый доступ к клиентам ниже по цепочке, к чувствительным сетям или к стратегическим программам.

В списке классы целей: системы управления конечными точками, системы управления сетью, оркестраторы SD-WAN и другие технологии плоскости управления. Со взломанной консоли забирают учётные данные, ключи, конфигурацию и легальный канал к устройствам, которыми панель и так управляет.

Отдельный ноутбук сотрудника здесь почти ничего не решает. Компания теряет управление маршрутами, политиками, доступом подрядчиков и каналами между площадками. Пока консоль в чужих руках, злоумышленник меняет то, чему уже доверяют филиалы.

Жертв в экосистеме Silent Train лаборатория насчитала сотни. Среди них операторы связи, госсектор, оборонные подрядчики, спутниковая связь и каналы, от которых зависят операции, университеты и IT-компании.

В критической инфраструктуре вода, энергетика, транспорт, водный и морской транспорт, железные дороги, авиация и экстренные службы. Повторный выбор централизованных платформ отличает схему от разового входа на сотрудника: один оркестратор размножает доступ на площадки.

Внутри США операции концентрировались на Гавайях, в Калифорнии и Техасе. Там крупные военные объекты, телеком, оборонные подрядчики, провайдеры спутниковой связи и логистические сети. Black Lotus Labs читает это как намерение сохранить доступ к обороне, логистике и связи, особенно при обострении в Индо-Тихоокеанском регионе.

Группа известна как минимум с 2021 года, в том числе как Bronze Silhouette, Insidious Taurus, UNC3236, Vanguard Panda и Voltzite. Публичные разборы связывают её со взломами связи, энергетики, транспорта, водоснабжения и водоотведения. Имя в отчёте может не совпасть с правилом в SIEM.

Silent Train для этих фаз и собирали: эксплуатация уязвимости, доступ к учётным данным, вынос данных, удержание входа после операции. Патч одной консоли не отзывает ключи, которые уже ушли, и не закрывает роутер, который несколько часов простоял реле.

Какие zero-day эксплуатировали через сеть Silent Train?

С сетью Silent Train связаны четыре подтверждённые кампании zero-day. В них пять CVE: две дыры относятся к одному продукту, N-able N-central. Классы ошибок разные, семейства продуктов тоже. Сеть впервые заметили в конце 2023 года, а формирование по хронологии отчёта пришлось примерно на ноябрь.

Продукт	CVE	Класс ошибки
Versa Director	CVE-2024-39717	загрузка файлов
N-able N-central	CVE-2025-8875, CVE-2025-8876	небезопасная десериализация и инъекция команд
Cisco Catalyst SD-WAN Controller	CVE-2026-20127	обход аутентификации
Arista VeloCloud Orchestrator	CVE-2026-16812	инъекция команд ОС

CVE-2024-39717 в Versa Director эксплуатировали как zero-day. Класс ошибки: загрузка файлов без должных ограничений. Через неё доставляли собственный веб-шелл VersaMem, снимали учётные данные и шли к клиентам, которых обслуживает Versa Director. Панель становится мостом к чужим сетям.

CVE-2025-8875 и CVE-2025-8876 это одна кампания против N-able N-central: небезопасная десериализация и инъекция команд. Платформа управляет конечными точками, поэтому из консоли видно много машин сразу. Группа искала именно такой обзор, а не одну рабочую станцию.

CVE-2026-20127 в Cisco Catalyst SD-WAN Controller это обход аутентификации. CVE-2026-16812 в Arista VeloCloud Orchestrator это инъекция команд ОС. Оба продукта задают политики филиальной сети. Обход аутентификации на контроллере и инъекция команд на оркестраторе поражают одно и то же: плоскость управления.

Эксплуатацию zero-day в Quest KACE лаборатория относит к возможным, но не подтверждённым. Патч вышел в октябре 2025 года, число жертв до исправления оценивают более чем в 30. Эту оценку нельзя ставить в один ряд с четырьмя подтверждёнными кампаниями.

Если консоль KACE смотрела в интернет до октябрьского исправления, разберите историю входов и новые учётки за тот срок. Подозрение лаборатории держите в инвентаризации отдельной строкой, рядом с подтверждёнными CVE.

Все четыре класса бьют по веб-интерфейсу продукта, который у интегратора и у заказчика часто доступен из интернета. Такой список консолей закрывает регулярное сканирование и оценка уязвимостей: известные CVE и панели, которым не место без VPN.

Как устроена цепочка и зачем американский выходной узел?

Цепочка Silent Train это несколько коротких прыжков, а не постоянный командный сервер. Операторы проводят трафик через чужие устройства, чтобы скрыть исходную точку и от жертвы, и от тех, кто расследует атаку.

1. Временный VPS вне США: площадку поднимают под сессию и выбрасывают после неё.
2. Скомпрометированные SOHO и IoT за пределами США прячут точку старта. Страны, провайдеры и модели разные.
3. Устройство в США работает выходным узлом перед внутренней жертвой.
4. Дальше сама жертва: панель управления или сеть, ради которой собирали цепочку.

Выходной узел в США нужен, чтобы обойти геофильтрацию и репутационные списки IP на пути к жертве внутри страны. Отчёт называет это назначение хопа. Насколько часто фильтр всё же режет такой трафик, лаборатория в цифрах не оценивает.

В сеть вовлекли не меньше 27 классов устройств. Среди SOHO и IoT названы TP-Link, Intelbras, Ruckus Wireless, SATO, NETGEAR, Zyxel и Cambium. Среди корпоративных площадок Fortinet, Cisco, PRTG компании Paessler, Mirth Connect и CyberPanel.

Роли закреплены за типом устройства и от операции к операции не меняются. Модемы Intelbras встречались только как реле. Netgear Orbi и межсетевые экраны Fortinet FortiGate стояли американскими промежуточными и выходными узлами и соприкасались с жертвой.

Тип держит постоянную роль, конкретные экземпляры меняются. Разделение слоёв мешает свести цепочку к одному владельцу инфраструктуры: реле сегодня одно, завтра другое, место в схеме то же.

Первичный вход на реле шёл через открытый веб-интерфейс. На узле оставляли только то, что нужно для проброса по SSH: временную службу SSH, ключи, файлы конфигурации и штатные утилиты. Отчёт не описывает отдельный тяжёлый имплант на каждом узле. После сессии артефакты снимали и цепочку разбирали.

Для филиалов в РФ и СНГ сценарий прикладной. Подрядчик с доступом к оркестратору или парк SOHO с админкой в интернете годится и как цель, и как чужое реле. Роутер офиса может лишь провести чужую сессию, пока конечная жертва в другой стране.

Жёсткие роли у таких устройств проверяют тестированием безопасности IoT: получены ли обновления прошивки и доступна ли админ-панель из интернета.

Что значит сессия на четыре часа без постоянных следов?

Средняя сессия Silent Train длилась около четырёх часов, отдельные укладывались в минуты. После каждой операторы снимали артефакты и разбирали цепочку. Постоянного маяка, который месяцами стучится на один адрес, в этой модели нет.

Black Lotus Labs отделяет схему от привычного C2. Ставка на короткие самоуправляемые сессии, а не на долгоживущие реле. Поиск постоянного адреса командного сервера такую работу пропускает: адрес живёт одну операцию.

Короткая сессия легко оставляет длинный след. Транспорт на четыре часа может обслужить доступ, который живёт дальше. Учётка, ключ и правка политики на оркестраторе остаются, даже если SSH уже стёрли и роутер вернули в обычный вид.

Формирование Silent Train совпало со срывом KV-botnet, ботнета на IoT. Его связывали с несколькими группами китайского происхождения, включая Volt Typhoon. Сеть начала складываться около ноября 2023 года, за недели до первого раунда ликвидации этого ботнета.

Вместо постоянной инфраструктуры группа перешла к одноразовым цепочкам из скомпрометированных устройств. Такую цепочку можно собрать заново под следующую задачу и тут же разобрать. После второго удара по KV-botnet в конце января 2024 года активность Silent Train выросла.

К началу 2025 года архитектура стала гибридной. Корпоративные устройства удерживались в сети в среднем от одного до трёх месяцев, а не менялись после каждой операции. Одноразовыми оставались в основном бытовые реле. Корпоративный узел берегли: с него уже открыт широкий обзор.

Позже появились обратные туннели. Заражённое устройство само открывало канал наверх через открытые прокси Chisel и FRP. Оба проекта легальные, имя процесса атаку не доказывает. Смотрите родительский процесс, владельца, время появления, аргументы запуска и адрес назначения.

В заголовке The Hacker News Silent Train названа уже разобранной сетью. В цитатах Black Lotus Labs схема описана как рабочая модель вплоть до гибрида начала 2025 года. Кто остановил сеть и можно ли собрать её снова, пересказ не сообщает. Считать схему мёртвой по заголовку рано.

Что проверить, если в контуре есть оркестратор и SOHO?

Если в контуре есть оркестратор и SOHO, сначала ищите открытые веб-панели и короткие административные сессии. Поиск постоянного адреса C2 здесь промахивается. Сессия живёт часы или минуты, SSH, ключи и конфиги после работы удаляют, а трафик похож на обычное администрирование.

Из описания схемы следуют конкретные признаки. На SOHO внезапно поднимается служба SSH, живёт минуты или около четырёх часов и исчезает вместе с ключами. С роутера уходят исходящие соединения на VPS за рубежом, затем короткий заход на панель управления.

Патч на оркестратор часто ставят, а новые учётки, API-токены, SSH-ключи и правки на подчинённых устройствах не смотрят. Исправление не вычищает доступ, который уже забрали. Компрометацию панели разбирайте как компрометацию идентификаторов.

До перезагрузки и ротации ключей сохраните доказательства и соберите шкалу времени. Журналы храните вне устройства и вне оркестратора: локальная зачистка не сотрёт копию в SIEM или на отдельном syslog.

Сопоставляйте NetFlow, межсетевые экраны, VPN, DNS и входы администраторов за недели и месяцы. Одна цепочка исчезнет за вечер. Повтор виден по рисунку: тип устройства, роль в пути, окно в несколько часов, затем тишина.

Уберите из интернета веб-интерфейсы Versa Director, N-able N-central, Cisco Catalyst SD-WAN Controller, Arista VeloCloud, Quest KACE и систем управления сетью, если они доступны без VPN. Сверьте версии с бюллетенями по CVE-2024-39717, CVE-2025-8875, CVE-2025-8876, CVE-2026-20127 и CVE-2026-16812.

Индикаторы и детали эксплуатации берите из первоисточников: бюллетеней производителя и отчёта Black Lotus Labs, а не из вторичных публикаций. Пересказ объясняет цель. Для поиска в своих логах нужен первоисточник.

Отдельно пройдите SOHO и IoT. Кто владелец, получены ли обновления прошивки, доступна ли админ-панель из интернета, не стоит ли устройство мостом между гостевой сетью и сетью управления. Роутер без обновлений и с открытой админкой годится в реле, даже если данных компании на нём нет.

• Закройте веб-интерфейсы управления из интернета и пустите их только через VPN.
• После патча проверьте новые учётки, токены, SSH-ключи и изменения на подчинённых узлах.
• Журналы оркестратора копируйте во внешний SIEM до любой перезагрузки.
• SOHO смотрите как возможное реле с фиксированной ролью, а не как бытовой шум.

Путь от периметра до консоли проверяет внешний и внутренний пентест сети.

Частые вопросы

Что такое сеть Silent Train?

Так Black Lotus Labs назвала многохоповую сеть доступа, которую относит к Volt Typhoon. Цепочку из VPS, зарубежных SOHO и IoT и американского выходного узла собирали под сессию и после неё разбирали.

Silent Train это ботнет или разовая цепочка доступа?

Это каркас коротких одноразовых цепочек, а не постоянный ботнет с долгоживущим командным сервером. С начала 2025 года часть корпоративных устройств удерживали от одного до трёх месяцев: модель стала гибридной.

Сколько zero-day подтверждено, а сколько только подозревается?

Подтверждены четыре кампании и пять CVE: CVE-2024-39717, пара CVE-2025-8875 и CVE-2025-8876, CVE-2026-20127, CVE-2026-16812. Эксплуатацию zero-day в Quest KACE лаборатория относит к возможным, но не подтверждённым.

Помогает ли геоблокировка, если последний хоп в той же стране?

Выходной узел Silent Train специально стоял в США, чтобы обойти геофильтрацию и репутационные списки IP. Отчёт не измеряет, как часто фильтр всё же отсекает такой трафик.

Какие продукты фигурируют: Versa, N-able, Cisco, Arista?

В подтверждённых кампаниях фигурируют Versa Director, N-able N-central, Cisco Catalyst SD-WAN Controller и Arista VeloCloud Orchestrator. Отдельно, как возможную эксплуатацию, лаборатория называет Quest KACE.

Что изменилось в архитектуре к началу 2025 года?

Полностью одноразовые реле дополнили корпоративными устройствами со сроком удержания от одного до трёх месяцев. Позже добавились обратные туннели на открытых прокси Chisel и FRP.

Если открытые панели управления и парк SOHO нужно проверить до того, как их поставят в чужую цепочку, HirexTech разберёт периметр, оркестраторы и учётки после патча в работе по информационной безопасности.