- Lumen确认至少有四个、另有一个可能被Volt Typhoon利用的零日漏洞。
- 一次可能针对Quest KACE的攻击活动影响了30多个受害者，并在2025年10月安全更新后有所减少。
Lumen表示，其监测帮助发现了Volt Typhoon利用的至少四个已确认及一个可能的零日漏洞，目标为网络和终端管理系统、SD-WAN编排器及控制平面基础设施。
这些目标系统能够提供企业和客户环境中的可视性、管理能力和访问权限。
Black Lotus Labs表示，Silent Train于2023年末首次被发现，支持漏洞利用、凭据访问、数据外泄以及持续访问受害者环境。Lumen表示，它于2023年11月首次观察到持续一致的活动，当时早于最初的KV-botnet取缔行动。
事件经过
Lumen表示，N-Central攻击活动涉及此前未公开的漏洞，分配的CVE编号为CVE-2025-8875和CVE-2025-8876。Lumen表示，Volt Typhoon最晚于2025年末通过CVE-2026-20127利用Cisco Catalyst SD-WAN，该漏洞为严重漏洞，CVSS评分为10.0。
该组织还利用了一个后来被指定为CVE-2026-16812的VeloCloud Orchestrator零日漏洞。Lumen表示，Cisco Catalyst SD-WAN的漏洞利用在Cisco于2026年2月披露该漏洞后仍在继续。
| 目标 | CVE或状态 | 详情 |
|---|---|---|
| N-Central | CVE-2025-8875和CVE-2025-8876 | 此前未公开的漏洞 |
| Cisco Catalyst SD-WAN | CVE-2026-20127 | 最晚于2025年末被利用；CVSS为10.0 |
| VeloCloud Orchestrator | CVE-2026-16812 | 零日漏洞，之后被分配CVE编号 |
| Quest KACE | 可能的零日攻击活动 | 30多个受害者 |
Silent Train轮换使用27类设备
Black Lotus Labs表示，Silent Train使用由遭入侵的SOHO、物联网和企业基础设施组成的轮换链，并采用反取证技术、分隔式操作和行动后清理。它观察到超过27类设备，包括TP-Link路由器、Netgear Orbi设备、Fortinet设备和CyberPanel服务器。
Lumen表示，操作人员可以在不到两分钟内利用漏洞并组装链路。会话平均持续约四小时，但有些仅持续几分钟；遭入侵的企业平台则保持活跃一至三个月，并在被替换前支持多次入侵。
Black Lotus Labs通知了数百名受害者
Lumen表示，Black Lotus Labs在跟踪、协作和调查工作期间通知了数百名受害者。据CyberScoop报道，被通知的组织包括电信服务提供商、政府机构、国防承包商、通信服务提供商、大学和IT公司。
Black Lotus Labs表示，Silent Train活动重点针对遭入侵后能够在大型企业环境中提供广泛可视性、控制权和访问权限的系统。
Lumen表示，Black Lotus Labs跟踪Silent Train超过三年，与公共部门和私营部门合作伙伴开展工作，并发出数百份高优先级受害者通知。Lumen表示，该框架使用集中式管理和控制平面技术仍是一贯模式。
Lumen建议减少互联网暴露面、加快打补丁、强化访问控制并保留安全遥测数据，以更早发现威胁并限制其影响。
防守方现在要做什么
- 通过VPN、访问控制策略、跳板主机或专用管理网络限制对管理界面的直接访问。
常见问题
Volt Typhoon使用Silent Train做了什么？
Black Lotus Labs表示，Silent Train支持漏洞利用、凭据访问、数据外泄以及持续访问受害者环境。
Volt Typhoon构建Silent Train链路的速度有多快？
Lumen表示，操作人员可以在不到两分钟内利用漏洞并组装设备链路。
来源
- Silent Train: uncovering Volt Typhoon's operational framework for zero-day exploitation and strategic access, Lumen原始文件
- The Botnet is Back: SSC STRIKE Team Uncovers a Renewed Cyber Threat - SecurityScorecard, SecurityScorecard原始文件
- Volt Typhoon Used Covert Silent Train Network in Four Zero-Day Exploitation Campaigns, The Hacker News
- Researchers uncover Volt Typhoon’s covert, ephemeral network, CyberScoop
- Volt Typhoon returns with fresh botnet attacks on critical US infrastructure, CSOonline
- U.S. agencies continue to observe Volt Typhoon intrusions, techtarget
我们如何核实这篇报道
| 内容 | 来源 | 状态 |
|---|---|---|
| The Hacker News将Silent Train归因于Volt Typhoon，并表示该网络支持零日漏洞利用和战略性访问。 | The Hacker News | 引述 |
| Black Lotus Labs表示，Silent Train使用由遭入侵的SOHO、物联网和企业基础设施组成的轮换链，并采用反取证技术和清理操作。 | Black Lotus Labs | 引述 |
| Black Lotus Labs表示，Silent Train支持漏洞利用、凭据访问、数据外泄以及持续访问受害者环境。 | Black Lotus Labs, via The Hacker News | 引述 |
| Lumen表示，它确认至少有四个、另有一个可能被Volt Typhoon利用的零日漏洞。 | Lumen | 已证实 |
| Lumen表示，N-Central攻击活动涉及此前未公开的漏洞，分配的CVE编号为CVE-2025-8875和CVE-2025-8876。 | Lumen | 已证实 |
| Lumen表示，Volt Typhoon最晚于2025年末通过CVE-2026-20127利用Cisco Catalyst SD-WAN。 | Lumen | 已证实 |
| Lumen表示，Cisco Catalyst SD-WAN的漏洞利用在Cisco于2026年2月披露该漏洞后仍在继续。 | Lumen | 已证实 |
| Lumen表示，Volt Typhoon利用了一个后来被指定为CVE-2026-16812的VeloCloud Orchestrator零日漏洞。 | Lumen | 已证实 |
| Lumen表示，可能针对Quest KACE的零日攻击活动影响了30多个受害者，并在2025年10月安全更新后有所减少。 | Lumen | 已证实 |
| Lumen表示，Black Lotus Labs于2023年11月首次观察到持续一致的Silent Train活动，当时早于最初的KV-botnet取缔行动。 | Lumen | 已证实 |
| Lumen表示，在跟踪Silent Train超过三年的时间里，它通知了数百名受害者。 | Lumen | 已证实 |
| Lumen表示，Silent Train使用了超过27类设备，包括SOHO、物联网和企业平台。 | Lumen | 已证实 |
| Lumen表示，Silent Train会话平均持续约四小时，有些仅持续几分钟。 | Lumen | 已证实 |
| Lumen表示，操作人员可以在不到两分钟内利用漏洞并组装Silent Train链路。 | Lumen | 已证实 |
| Lumen表示，企业平台在Silent Train中保持活跃一至三个月，并支持多次入侵。 | Lumen | 已证实 |
| Lumen表示，Silent Train针对能够提供广泛管理访问权限和可视性的集中式管理与控制平面技术。 | Lumen | 已证实 |
| Lumen建议减少互联网暴露面、加快打补丁、强化访问控制并保留安全遥测数据。 | Lumen | 已证实 |
| CyberScoop报道，Black Lotus Labs通知了电信、政府、国防、通信、大学和IT行业的数百名受害者。 | CyberScoop | 引述 |
| Michael Horka告诉CyberScoop，Volt Typhoon可以在不到两分钟内使用不同基础设施重建一条新链路。 | Michael Horka, via CyberScoop | 引述 |
| SecurityScorecard表示，Volt Typhoon早期的JDYFJ僵尸网络使用了遭入侵的Cisco和Netgear路由器，以及位于荷兰、拉脱维亚和德国的命令服务器。 | SecurityScorecard | 引述 |
| CSOonline报道，Volt Typhoon利用过时的Cisco和Netgear路由器入侵关键网络。 | CSOonline | 引述 |
| CSOonline报道，相关活动在Volt Typhoon僵尸网络部分节点被清除近十个月后重新出现。 | CSOonline | 引述 |
| SecurityScorecard的Ryan Sherstobitoff表示，Volt Typhoon回归时比以往更加复杂且更有决心。 | Ryan Sherstobitoff, via CSOonline | 引述 |
| SecurityScorecard表示，攻击者在37天内入侵了约30%的可见Cisco RV320/325路由器。 | SecurityScorecard, via CSOonline | 引述 |
| CSOonline报道，Volt Typhoon使用遍布欧洲和亚太地区的服务器来掩盖命令与控制活动。 | CSOonline | 引述 |
| CSOonline报道，Volt Typhoon使用JDYFJ SSL证书集群进行加密通信。 | CSOonline | 引述 |
| CSOonline报道，新喀里多尼亚的一台遭入侵VPN设备连接了亚太地区和美洲。 | CSOonline | 引述 |
| CSOonline报道，据报道，Volt Typhoon在进一步入侵美国电信运营商之前，已经入侵新加坡电信。 | CSOonline | 引述 |
| CSOonline报道，Lumen此前表示，Volt Typhoon利用CVE-2024-39717植入窃取凭据的Web Shell。 | CSOonline | 引述 |
| TechTarget报道，CISA表示，Volt Typhoon至少在部分受害者IT环境中保持访问权限五年。 | CISA, via techtarget | 引述 |
| Cynthia Kaiser表示，Volt Typhoon活动每天都在发生，并将在未来数年持续构成问题。 | Cynthia Kaiser, via techtarget | 引述 |
| CISA观察到，Volt Typhoon定期从存储凭据的Active Directory中外泄文件。 | CISA, via techtarget | 引述 |
| Andrew Scott表示，Volt Typhoon针对的是为其他关键基础设施提供支持的小型和中型企业。 | Andrew Scott, via techtarget | 引述 |
| securityscorecard.com于2024年11月12日发布了其报告。 | securityscorecard.com | 已证实 |
未能核实
- 四次已确认的攻击活动是否导致受影响受害者数量被披露，尚未确定
- 四次已确认的攻击活动影响了多少组织，尚未确定
- 四次攻击活动是否与早期JDYFJ僵尸网络有关，尚未确定
延伸阅读
漏洞修补Adobe修复Campaign Classic漏洞，或可执行代码
漏洞修补Anthropic模型将漏洞串成攻击Chrome等的漏洞利用
漏洞修补PHP漏洞或可执行代码，CISA将2个CVE列入KEV