Black Lotus Labs, исследовательское подразделение Lumen, опубликовала отчёт о Silent Train — фреймворке ретрансляции трафика, который китайская государственная группировка Volt Typhoon использует около трёх лет. Сейчас сеть нарушена.
Как это устроено
Операторы собирают цепочки из взломанных устройств под конкретную цель: трафик идёт через VPS за пределами США, затем через зарубежные модемы Intelbras и американские Netgear Orbi. После сессии (обычно до 8 часов) инструменты удаляются, а цепочка обновляется. С начала 2025 года схема гибридная: к одноразовым узлам добавились взломанные корпоративные системы, которые держат один–три месяца. Отчасти переход к ней вызвала ликвидация ботнета KV-Botnet ФБР. Активность совпадает с рабочими часами по пекинскому времени.
Какие уязвимости
Минимум четыре zero-day. Среди целей:
- Arista VeloCloud Orchestrator (CVE-2026-16812);
- Cisco Catalyst SD-WAN (CVE-2026-20127);
- N-able N-central (CVE-2025-8875, CVE-2025-8876);
- Versa Director (CVE-2024-39717);
- предположительно Quest KACE (не подтверждено).
Взлом систем управления даёт админский доступ к клиентам ниже по цепочке без шумного горизонтального перемещения. Цели — телеком, госсектор, оборонные подрядчики, коммунальные службы, MSP, авиация; чаще всего Калифорния, Техас и Гавайи.
Что делать
Убрать административные интерфейсы из интернета, быстро патчить системы управления, централизовать логи с долгим хранением, следить за нетипичными действиями админов и проверить доверенные подключения к сетям клиентов и партнёров.
Black Lotus Labs, Lumen’s research arm, published a report on Silent Train, a traffic relay framework that the Chinese state-sponsored group Volt Typhoon has used for about three years. The network has since been disrupted.
How it works
Operators build chains of compromised devices for a specific target: traffic goes through VPS hosts outside the US, then through overseas Intelbras modems and US-based Netgear Orbi devices. After a session (usually under 8 hours) the tooling is removed and the chain is refreshed. Since early 2025 the setup has been hybrid: disposable relays are combined with compromised enterprise systems kept for one to three months. The FBI’s takedown of KV-Botnet partly drove the shift. Activity follows China Standard Time working hours.
Vulnerabilities
At least four zero-days were exploited. Targets included:
- Arista VeloCloud Orchestrator (CVE-2026-16812);
- Cisco Catalyst SD-WAN (CVE-2026-20127);
- N-able N-central (CVE-2025-8875, CVE-2025-8876);
- Versa Director (CVE-2024-39717);
- suspected Quest KACE (unconfirmed).
Compromising management platforms gives admin access to downstream customers without noisy lateral movement. Targets include telecom, government, defense contractors, utilities, MSPs and aviation, with California, Texas and Hawaii hit most often.
What to do
Keep admin interfaces off the internet, patch management platforms quickly, centralize logs with long retention, watch for unusual admin activity and review trusted connections into customer and partner networks.