Black Lotus Labs, исследовательское подразделение Lumen, 28 октября раскрыла устройство Silent Train — инфраструктуры, через которую атаковали системы централизованного управления сетями и компьютерами. Исследователи связывают её с Volt Typhoon, которую относят к китайским государственным группировкам. Наблюдения ведутся с конца 2023 года: новая публикация описывает многолетнюю кампанию.

По телеметрии Lumen, злоумышленники собирали маршрут через несколько взломанных роутеров и других устройств. Сеанс длился в среднем около четырёх часов, после чего временные службы, ключи и настройки удаляли, а цепочку разбирали. Позднее к этой схеме добавились захваченные корпоративные системы: их использовали повторно от одного до трёх месяцев.

Главной целью становились платформы, уже обладающие административным доступом к множеству устройств и клиентских сетей. Их захват позволял получать учётные данные и пользоваться штатным удалённым управлением, сокращая перемещения между отдельными компьютерами и оставляемые следы. Исследование связало инфраструктуру как минимум с четырьмя подтверждёнными кампаниями эксплуатации ранее неизвестных уязвимостей; ещё один такой эпизод исследователи считают вероятным.

Lumen сообщает о сотнях уведомлений пострадавшим организациям, но не приводит единого точного числа успешно взломанных сетей. Новый результат — описание того, как постоянно пересобираемый маршрут скрывает доступ к управляющим системам. Он не означает, что все затронутые устройства очищены или кампания прекращена.