O grupo de espionagem cibernética ligado à China conhecido como Volt Typhoon foi associado a uma rede de acesso secreta, já desativada, batizada de Silent Train, usada para explorar vulnerabilidades de dia zero e obter acesso estratégico.
“Identificada pela primeira vez no fim de 2023, a Silent Train usa cadeias rotativas de dispositivos comprometidos, como roteadores de pequenos escritórios e residências (SOHO, sigla para small office/home office), dispositivos da internet das coisas (IoT, sigla para Internet of Things) e infraestrutura corporativa”, afirmou a Lumen Technologies Black Lotus Labs em um relatório compartilhado com o The Hacker News. “Ela emprega técnicas antiforense, operações compartimentadas e limpeza pós-operação para minimizar a detecção e a atribuição.”
Sua principal finalidade é facilitar fases críticas de ataque, como a exploração de vulnerabilidades, o acesso a credenciais, a exfiltração de dados e a manutenção do acesso contínuo aos ambientes das vítimas. A atividade se destaca por dois motivos principais:
- Ela mirou entidades que poderiam oferecer acesso escalável a clientes a jusante, redes sensíveis ou programas estratégicos.
- Ela teve como alvo plataformas de gerenciamento de endpoints, sistemas de gerenciamento de rede, orquestradores SD-WAN (redes de longa distância definidas por software) e tecnologias de plano de controle que desempenham papel crucial nos ambientes corporativos.
Centenas de vítimas foram identificadas em operadoras de telecomunicações, órgãos governamentais, empreiteiras de defesa, serviços de satélite e de comunicação de missão crítica, universidades, empresas de TI e infraestruturas críticas, como água, energia, transporte, setor marítimo, ferrovias, aviação e serviços de emergência.
O Volt Typhoon (também conhecido como Bronze Silhouette, Insidious Taurus, UNC3236, Vanguard Panda e Voltzite) é o nome atribuído a um grupo patrocinado pelo Estado e ligado à China, conhecido por atacar redes de infraestrutura crítica, especialmente nos setores de comunicações, energia, transporte e sistemas de água e esgoto.
Sabe-se que esse ator de ameaça está ativo desde pelo menos 2021. Anteriormente, foi observado explorando, como falha de dia zero, uma vulnerabilidade de upload de arquivos no Versa Director (CVE-2024-39717, sigla para Common Vulnerabilities and Exposures, ou vulnerabilidades e exposições comuns) para instalar uma web shell sob medida chamada VersaMem, projetada para coletar credenciais e permitir acesso a clientes a jusante.
As descobertas mais recentes da Black Lotus Labs mostram que essa falha de segurança foi uma das quatro campanhas confirmadas de dia zero conduzidas pelo grupo por meio da Silent Train. As outras três vulnerabilidades estão listadas abaixo:
- CVE-2025-8875 e CVE-2025-8876: um conjunto de vulnerabilidades de desserialização insegura e de injeção de comando no N-able N-central.
- CVE-2026-20127: uma vulnerabilidade de contorno de autenticação no Cisco Catalyst SD-WAN Controller.
- CVE-2026-16812: uma vulnerabilidade de injeção de comando do sistema operacional no Arista VeloCloud Orchestrator.
Separadamente, suspeita-se que o Volt Typhoon também tenha aproveitado uma provável vulnerabilidade de dia zero no Quest KACE antes de ela ser corrigida em outubro de 2025. Estima-se que a campanha tenha afetado mais de 30 vítimas.
“A Silent Train é construída em torno de cadeias de dispositivos comprometidos que giram rapidamente, como roteadores SOHO, dispositivos IoT e equipamentos corporativos, explorados sob demanda, usados contra alvos cuidadosamente escolhidos, limpos após cada operação e continuamente renovados”, afirmou a Black Lotus Labs.
“Esse modelo permitiu que o Volt Typhoon conduzisse operações de exploração e pós-exploração com segurança operacional excepcional, minimizando as chances de detecção, atribuição e interrupção.”
Uma característica marcante desses ataques é a repetida mira em sistemas que podem abrir caminho para ampla visibilidade, controle e acesso em grandes ambientes corporativos de valor estratégico para os Estados Unidos (EUA).
O mais curioso é que a capacidade de acesso encoberto começou a tomar forma por volta de novembro de 2023, poucas semanas antes da primeira rodada de desmantelamento da KV-botnet, uma botnet de IoT ligada a vários grupos de ameaça patrocinados pelo Estado e vinculados à China, incluindo o Volt Typhoon.
Segundo relatos, a atividade operacional da Silent Train aumentou após a segunda interrupção da botnet, no fim de janeiro de 2024, ao mesmo tempo em que migrou para uma infraestrutura efêmera composta por diversos tipos de dispositivos e espalhada por diferentes regiões geográficas.
“Em vez de continuar usando infraestrutura persistente, o Volt Typhoon passou a adotar um modelo baseado em cadeias de dispositivos comprometidos de uso único, que podiam ser reconstruídas conforme necessário”, disse a Black Lotus Labs. “O Volt Typhoon montava e desmontava rapidamente infraestruturas transitórias, criando uma estrutura resiliente, segura e compartimentada, que protegia o acesso valioso.”
Descrita como uma “estrutura em camadas e com múltiplos saltos”, a Silent Train foi projetada para permitir que os operadores do Volt Typhoon retransmitam o tráfego malicioso por vários dispositivos antes de chegar aos alvos, a fim de ocultar sua origem tanto das vítimas quanto dos defensores. Cada elo da cadeia cumpre uma função específica:
- Servidores privados virtuais (VPS, sigla para virtual private server) que funcionam como área de preparação temporária e permitem que os atores de ameaça os provisionem e descartem após cada sessão. As sessões começam a partir de infraestrutura VPS localizada fora dos EUA.
- Dispositivos SOHO e IoT comprometidos fora dos EUA, localizados em diferentes países, provedores e tipos de hardware, que ocultam o ponto de partida do ataque.
- Dispositivos comprometidos baseados nos EUA que funcionam como nó de saída antes de chegar à vítima doméstica e ajudam a evitar bloqueios por geofencing (restrição por localização geográfica) e listas de bloqueio baseadas em reputação de IP.
Não menos de 27 classes de dispositivos, que vão de equipamentos SOHO e IoT (como TP-Link, Intelbras, Ruckus Wireless, SATO, NETGEAR, Zyxel e Cambium) a plataformas corporativas (como Fortinet, Cisco, PRTG, Mirth Connect e CyberPanel), foram exploradas e incorporadas à rede secreta.
“A Silent Train se destaca pela disciplina operacional, concentrando-se em sessões de curta duração e autogerenciadas, em vez de retransmissores persistentes ou infraestrutura de comando e controle (C2, sigla para command and control)”, afirmou a Black Lotus Labs. “Para montar essas sessões, seus operadores exploram interfaces web expostas em dispositivos SOHO, IoT e outros dispositivos de retransmissão, e depois implantam apenas as ferramentas necessárias para habilitar o acesso encadeado via SSH (protocolo Secure Shell) pelo nó comprometido.”
“Isso incluía serviços SSH temporários, chaves, arquivos de configuração e utilitários nativos do sistema, na técnica conhecida como ‘living off the land’. Ao final das sessões operacionais, eles removiam todos os artefatos e desmontavam a cadeia operacional. As sessões da Silent Train duravam cerca de quatro horas em média, com algumas durando apenas minutos.”
Outro aspecto relevante é a designação de determinados tipos de dispositivo a posições específicas dentro da Silent Train. Por exemplo, os modems Intelbras foram encontrados apenas como nós de retransmissão, enquanto os equipamentos Netgear Orbi e os appliances Fortinet FortiGate atuaram como intermediários e pontos de saída baseados nos EUA, responsáveis pela interação com a vítima.
Em outras palavras, a infraestrutura aponta para uma compartimentação deliberada entre as camadas, confinando alguns tipos de dispositivo a funções específicas que permanecem constantes, enquanto a infraestrutura subjacente muda com o tempo, para dificultar os esforços de atribuição.
No início de 2025, porém, acredita-se que a Silent Train tenha evoluído de uma rede de retransmissão totalmente efêmera para uma arquitetura híbrida, que manteve dispositivos de nível corporativo por uma média de um a três meses, em vez de trocá-los após cada operação.
A evolução posterior da plataforma introduziu variantes de túnel reverso que usavam proxies de código aberto, como Chisel e FRP (Fast Reverse Proxy), para enviar tráfego dos dispositivos infectados à infraestrutura a montante.
Nos EUA, Havaí, Califórnia e Texas surgiram como áreas de foco das operações da Silent Train, o que se explica pelo fato de esses estados abrigarem grandes instalações militares, infraestrutura de telecomunicações, empreiteiras de defesa, provedores de comunicações por satélite e redes logísticas essenciais.
“A vitimologia indica esforços deliberados para manter acesso a ecossistemas críticos que sustentam operações de defesa, logística, comunicações, militares e civis, especialmente durante períodos de tensão elevada ou crises na região do Indo-Pacífico”, afirmou a Black Lotus Labs.
“O resultado é um quadro de uma estrutura altamente organizada, criada para adquirir, proteger e sustentar acesso estratégico em grande escala. Por meio da repetida mira em plataformas centralizadas de gerenciamento e em tecnologias de plano de controle, a Silent Train mostra como o Volt Typhoon persegue e preserva sistematicamente o acesso a algumas das redes mais importantes dos Estados Unidos.”
