Volt Typhoon, "Silent Train" adlı yönlendirme çerçevesiyle sıfır gün açıklarını gizliyor

Lumen'in tehdit araştırma birimi Black Lotus Labs, Çin bağlantılı Volt Typhoon grubunun üç yıldır izlendiğini ve en az dört sıfır gün açığını bu çerçeve üzerinden kullandığını doğruladı.

Lumen'in tehdit araştırma birimi Black Lotus Labs, üç yıl boyunca Çin devletiyle bağlantılı olduğu düşünülen Volt Typhoon grubunu izledi. Araştırmacılar, grubun "Silent Train" adını verdikleri bir yönlendirme çerçevesi kullandığını belgeledi. Bu çerçeve, ele geçirilmiş tüketici ve kurumsal cihazları zincirleme bağlıyor; yurt dışında Intelbras modemler, ABD'de ise Netgear Orbi cihazları bu zincirde yer alıyor. Her oturumdan sonra, yaklaşık sekiz saat içinde saldırganlar araçlarını ortadan kaldırıyor.

Araştırmacılar, bu çerçeve üzerinden kullanılan en az dört sıfır gün açığını doğruladı. Etkilenen ürünler arasında Cisco Catalyst SD-WAN, VeloCloud Orchestrator, N-able N-central ve Versa Director bulunuyor. Quest KACE içinde de bir sıfır gün açığının kullanıldığından şüpheleniliyor. Hedefler arasında telekomünikasyon, devlet, savunma, enerji şebekeleri, havacılık ve acil durum hizmetleri var. En çok hedef alınan bölgeler Kaliforniya, Teksas ve Hawaii; araştırmacılar bunu Hint-Pasifik odağına bağlıyor.

Söz konusu platformlar yönetim yetkisini geniş tuttuğu için, ele geçirilen bir yönetim platformu saldırganlara alt müşterilere uzanan geniş bir erişim sağlıyor. Araştırmacıların operatörlere önerisi açık: yönetim arayüzlerine internetten erişimi kısıtlamak, yamaları hızla uygulamak ve kayıtları merkezileştirip daha uzun süre saklamak.