Volt Typhoon, dakikalar içinde yeniden kurduğu gizli 'Silent Train' ağıyla saldırıyor

Çin devleti destekli Volt Typhoon grubu, saldırılarını ele geçirilmiş cihazlardan oluşan, sürekli değişen ve iki dakikadan kısa sürede yeniden inşa edebildiği gizli bir ağ üzerinden yürütüyor; bunu Lumen Technologies'in Black Lotus Labs ekibi 28 Ekim 2026 tarihli bir raporda açıkladı ve CyberScoop aktardı. Bulgular, en yakından izlenen devlet aktörlerinden birinin kritik altyapıyı hedeflerken nasıl gizli kalabildiğini ortaya koyuyor.

Neler oldu?

Black Lotus Labs operasyona "Silent Train" adını veriyor. CyberScoop'a göre bu, bağımsız bir ağ değil; grubun trafiğini aktarmak için birbirine zincirlenmiş, hızla değiştirilen ele geçirilmiş cihazlardan — küçük ofis/ev ofisi (SOHO) yönlendiricileri, nesnelerin interneti (IoT) donanımları ve kurumsal altyapı — oluşan bir dizi. Volt Typhoon bu zincirleri, kalıcı erişim elde etmek amacıyla başka hedeflere ulaşmak ve ağ uç cihazlarındaki sıfırıncı gün açıkları dahil olmak üzere onları istismar etmek için kullanmış.

Teknik detaylar

Baş bilgi güvenliği mühendisi Michael Horka, "zincirlerin her gün kurulup dağıtıldığını" ve Volt Typhoon'un "bir zinciri farklı altyapıyla iki dakikadan kısa sürede yeniden kurabilen, tekrarlanabilir bir yetenek sergilediğini" söyledi. Oturumlar ortalama dört saat sürmüş. CyberScoop'a göre bu değişim geç 2023'ten beri sürüyor ve grup, FBI ile Adalet Bakanlığı'nın 2024'ün başında KV Botnet'ini çökertmesinin ardından Silent Train'e daha fazla yaslanmış. Rapor, Versa Director, N-Able N-Central, Cisco Catalyst SD-WAN ve VeloCloud Orchestrator'a yönelik sıfırıncı gün kampanyalarını adlandırıyor ve 27'den fazla cihaz sınıfının istismar edildiğini belirtiyor; bunlar Fortinet, Cisco, ManageEngine, Ivanti, F5, Check Point, Palo Alto Networks, ServiceNow, TP-Link, Netgear ve ArcGIS'e ait uç cihazları, kurumsal yönetim araçlarını, kimlik sistemlerini ve ağ donanımlarını kapsıyor.

Kimler etkileniyor?

CyberScoop'a göre Black Lotus Labs; telekom sağlayıcıları, kamu kurumları, savunma yüklenicileri, iletişim hizmetleri, üniversiteler ve BT şirketleri dahil yüzlerce kurbanı bilgilendirdi. Kritik altyapı kurbanları su, enerji, ulaşım, denizcilik, demiryolu, havacılık ve acil durum hizmetleri sektörlerine yayılıyor. Rapor etkinliği Çin hükümetine atfediyor. Horka, "çerçevenin kısa ömürlü doğası, gözlemlerimizin Volt Typhoon etkinliğinin eksiksiz bir sayımı olarak yorumlanmaması gerektiği anlamına geliyor" diyerek savunmacıların muhtemelen tablonun yalnızca bir kısmını gördüğünün altını çizdi.

Ne yapmalı?

Bulgular, uç ve ağ cihazı işletenlere yönelik köklü tavsiyeleri pekiştiriyor: Grup uç cihaz sıfırıncı gün açıklarına ve yamasız donanıma yaslandığı için üretici güvenlik güncellemelerini hızla uygulamak; artık düzeltme almayan, ömrü dolmuş yönlendirici ve IoT ekipmanlarını değiştirmek; SOHO ve uç cihazlar üzerinden geçen, aktarma etkinliğine işaret edebilecek kısa ömürlü ve olağan dışı giden bağlantıları izlemek. Hedef alınan kritik altyapı sektörlerindeki kurumlar, uç cihaz ele geçirilmesini gerçekçi bir tehdit olarak ele almalı ve yönetim arayüzlerine erişimi gözden geçirmeli.