O grupo de hackers patrocinado pelo Estado chinês Volt Typhoon tem usado um framework baseado em cadeias rotativas de dispositivos conectados, comprometidos sob demanda. A estrutura também é usada em ataques com exploits zero-day contra sistemas de alto valor.
O framework foi batizado de Silent Train porque o grupo o utiliza contra alvos selecionados, apaga os rastros após cada operação e renova continuamente a infraestrutura.
Pesquisadores da Black Lotus Labs, divisão de pesquisa sobre ameaças da empresa de telecomunicações Lumen, acompanham o Silent Train há três anos. Eles confirmaram que o Volt Typhoon explorou pelo menos quatro vulnerabilidades zero-day em ataques contra infraestruturas de borda e de gerenciamento.
Entre os alvos estão empresas de telecomunicações, órgãos governamentais, fornecedores de serviços de defesa, instituições de ensino, concessionárias de serviços públicos e de infraestrutura crítica, provedores de serviços via satélite, empresas de tecnologia da informação, provedores de serviços gerenciados, empresas de transporte e aviação e serviços de emergência.
As observações da Black Lotus Labs indicam que Califórnia, Texas e Havaí são as regiões mais visadas, o que sugere um foco em questões relacionadas ao Indo-Pacífico.
No passado, o Volt Typhoon atacou infraestruturas críticas dos Estados Unidos, incluindo sistemas de comunicação, energia, transporte e abastecimento de água. A CISA alertou que o grupo busca estabelecer acesso para possivelmente interromper esses serviços durante uma crise ou conflito futuro.
Segundo os pesquisadores, a implantação do Silent Train foi parcialmente impulsionada pela interrupção da KV-Botnet pelo FBI. O Volt Typhoon usava essa botnet para evitar a detecção durante ataques a infraestruturas críticas nos Estados Unidos.
O Silent Train é, na prática, uma infraestrutura de retransmissão composta por dispositivos comprometidos, que o Volt Typhoon usa para ocultar a origem dos ataques.
Os operadores encaminham suas atividades por servidores virtuais privados (VPS) fora dos Estados Unidos e, em seguida, pelo tráfego de dispositivos invadidos, como roteadores, que funcionam como retransmissores intermediários antes do início dos ataques.
A Black Lotus Labs afirma que modems da Intelbras serviram como retransmissores no exterior, enquanto dispositivos Netgear Orbi foram usados como pontos intermediários nos Estados Unidos.
O uso do Silent Train pelo grupo envolve explorar vulnerabilidades, roubar credenciais, exfiltrar dados e manter acesso remoto persistente aos sistemas comprometidos.
Ao monitorar as atividades do Silent Train, os pesquisadores observaram a exploração de vulnerabilidades zero-day nos seguintes produtos:
-
CVE-2026-16812
, VeloCloudOrchestrator
-
CVE-2026-20127
, Cisco Catalyst SD-WAN
- CVE-2025-8875 e CVE-2025-8876, N-able N-central
-
CVE-2024-39717
, Versa Director
- Quest KACE, possível vulnerabilidade zero-day
O comprometimento dessas plataformas concede aos grupos de ameaça amplo controle administrativo, permitindo roubar credenciais, obter acesso remoto e alcançar clientes situados em níveis posteriores da cadeia sem recorrer à movimentação lateral “ruidosa”, que poderia acionar mecanismos de detecção.
“Para estabelecer essas sessões, os operadores exploram interfaces web expostas em dispositivos de pequenos escritórios e residências (SOHO), dispositivos da internet das coisas (IoT) e outros equipamentos de retransmissão. Em seguida, instalam apenas as ferramentas necessárias para permitir o encadeamento de acessos por SSH através do dispositivo comprometido”, explica a Black Lotus Labs em um relatório.
“Isso inclui serviços SSH temporários, chaves, arquivos de configuração e ferramentas nativas do sistema.”
Quando a sessão termina, normalmente em menos de 8 horas, os operadores removem todas as ferramentas, chaves e arquivos de configuração dos dispositivos de retransmissão descartáveis.
No início de 2025, os pesquisadores observaram que o framework se tornou híbrido: passou a combinar retransmissores descartáveis com sistemas empresariais comprometidos, mantidos sob controle por períodos de um a três meses.
A Black Lotus Labs acredita que o Silent Train era reservado a alvos de alto valor e a operações cuidadosas, conduzidas diretamente no horário padrão da China (CST). O uso de vulnerabilidades zero-day contra esses alvos reforça essa hipótese.
Os pesquisadores recomendam reforçar a segurança dos sistemas centralizados de gerenciamento, restringir o acesso pela internet às interfaces administrativas, aplicar patches rapidamente e centralizar os registros de atividades, mantendo-os por mais tempo.
Eles também orientam monitorar atividades administrativas incomuns, revisar conexões confiáveis que possam expor redes de clientes ou parceiros e seguir as recomendações da CISA e do NCSC sobre o Volt Typhoon.
Publicidade
Vibecoding cria 10x mais sistemas, 20x mais vulneráveis. E quem ganha com isso é a galera do hacking ético e pentest. Quer ser pago para invadir sistemas? Então você tem que aprender com a Solyd que são os melhores do Brasil. Saiba mais...