- Lumen確認至少四個、另有一個可能由Volt Typhoon利用的零日漏洞。
- 一次可能涉及Quest KACE的行動影響逾30名受害者，並在2025年10月保安更新後有所減少。
Lumen表示，其監測協助發現Volt Typhoon利用的至少四個已確認及一個可能的零日漏洞，目標為網絡及端點管理系統、SD-WAN編排器及控制平面基礎設施。
受攻擊系統可提供企業及客戶環境的可見性、管理及存取權限。
Black Lotus Labs表示，Silent Train於2023年末首次被發現，支援漏洞利用、憑證存取、資料外洩及持續存取受害者環境。Lumen表示，該公司於2023年11月首次觀察到一致活動，時間早於KV-botnet首次被瓦解。
事件經過
Lumen表示，N-Central行動涉及此前未披露、獲分配CVE-2025-8875及CVE-2025-8876的漏洞。該公司表示，Volt Typhoon截至2025年末透過CVE-2026-20127利用Cisco Catalyst SD-WAN，該漏洞屬嚴重漏洞，CVSS評分為10.0。
該組織亦利用一個其後獲指定為CVE-2026-16812的VeloCloud Orchestrator零日漏洞。Lumen表示，Cisco在2026年2月披露漏洞後，Cisco Catalyst SD-WAN的攻擊仍持續。
| 目標 | CVE或狀況 | 詳情 |
|---|---|---|
| N-Central | CVE-2025-8875及CVE-2025-8876 | 此前未披露的漏洞 |
| Cisco Catalyst SD-WAN | CVE-2026-20127 | 截至2025年末遭利用；CVSS 10.0 |
| VeloCloud Orchestrator | CVE-2026-16812 | 零日漏洞其後獲分配CVE編號 |
| Quest KACE | 可能的零日攻擊行動 | 逾30名受害者 |
Silent Train輪換使用27類設備
Black Lotus Labs表示，Silent Train輪換使用由遭入侵的家居及小型辦公室、物聯網及企業基礎設施組成的鏈條，並採用反鑑識技術、分隔式行動及行動後清理。該機構觀察到逾27類設備，包括TP-Link路由器、Netgear Orbi設備、Fortinet設備及CyberPanel伺服器。
Lumen表示，營運者可在兩分鐘內利用漏洞並組建鏈條。工作階段平均約四小時，部分僅持續數分鐘；遭入侵的企業平台則維持活躍一至三個月，並在替換前支援多次入侵。
Black Lotus Labs通知數百名受害者
Lumen表示，Black Lotus Labs在追蹤、協作及調查工作期間通知數百名受害者。據CyberScoop報道，獲通知的機構包括電訊商、政府機構、國防承包商、通訊服務商、大學及資訊科技公司。
Black Lotus Labs表示，Silent Train活動集中於一旦遭入侵便可在大型企業環境提供廣泛可見性、控制及存取權限的系統。
Lumen表示，Black Lotus Labs追蹤Silent Train逾三年，與公營及私營機構夥伴合作，並發出數百份高優先級受害者通知。該公司表示，框架使用集中式管理及控制平面技術，仍是持續出現的模式。
Lumen建議減少互聯網暴露、加快修補程式更新、加強存取控制及保留保安遙測資料，以更早偵測威脅並限制其影響。
防守方現在要做甚麼
- 透過VPN、存取控制政策、跳板主機或專用管理網絡，限制直接存取管理介面。
常見問題
Volt Typhoon利用Silent Train做甚麼？
Black Lotus Labs表示，Silent Train支援漏洞利用、憑證存取、資料外洩及持續存取受害者環境。
Volt Typhoon可多快建立Silent Train鏈條？
Lumen表示，營運者可在不足兩分鐘內利用漏洞並組建設備鏈條。
來源
- Silent Train: uncovering Volt Typhoon's operational framework for zero-day exploitation and strategic access, Lumen原始文件
- The Botnet is Back: SSC STRIKE Team Uncovers a Renewed Cyber Threat - SecurityScorecard, SecurityScorecard原始文件
- Volt Typhoon Used Covert Silent Train Network in Four Zero-Day Exploitation Campaigns, The Hacker News
- Researchers uncover Volt Typhoon’s covert, ephemeral network, CyberScoop
- Volt Typhoon returns with fresh botnet attacks on critical US infrastructure, CSOonline
- U.S. agencies continue to observe Volt Typhoon intrusions, techtarget
我們如何核實這篇報道
| 內容 | 來源 | 狀態 |
|---|---|---|
| The Hacker News將Silent Train歸因於Volt Typhoon，並表示該網絡支援零日漏洞利用及策略性存取。 | The Hacker News | 引述 |
| Black Lotus Labs表示，Silent Train使用由遭入侵的家居及小型辦公室、物聯網及企業基礎設施組成的輪換鏈條，並採用反鑑識技術及清理措施。 | Black Lotus Labs | 引述 |
| Black Lotus Labs表示，Silent Train支援漏洞利用、憑證存取、資料外洩及持續存取受害者環境。 | Black Lotus Labs, via The Hacker News | 引述 |
| Lumen表示，該公司確認至少四個、另有一個可能由Volt Typhoon利用的零日漏洞。 | Lumen | 已證實 |
| Lumen表示，N-Central行動涉及此前未披露、獲分配CVE-2025-8875及CVE-2025-8876的漏洞。 | Lumen | 已證實 |
| Lumen表示，Volt Typhoon截至2025年末透過CVE-2026-20127利用Cisco Catalyst SD-WAN。 | Lumen | 已證實 |
| Lumen表示，Cisco在2026年2月披露漏洞後，Cisco Catalyst SD-WAN的攻擊仍持續。 | Lumen | 已證實 |
| Lumen表示，Volt Typhoon利用一個其後獲指定為CVE-2026-16812的VeloCloud Orchestrator零日漏洞。 | Lumen | 已證實 |
| Lumen表示，可能涉及Quest KACE的零日攻擊行動影響逾30名受害者，並在2025年10月保安更新後有所減少。 | Lumen | 已證實 |
| Lumen表示，Black Lotus Labs於2023年11月首次觀察到一致的Silent Train活動，時間早於KV-botnet首次被瓦解。 | Lumen | 已證實 |
| Lumen表示，該公司在追蹤Silent Train逾三年期間通知數百名受害者。 | Lumen | 已證實 |
| Lumen表示，Silent Train使用逾27類設備，包括家居及小型辦公室、物聯網及企業平台。 | Lumen | 已證實 |
| Lumen表示，Silent Train工作階段平均約四小時，部分僅持續數分鐘。 | Lumen | 已證實 |
| Lumen表示，營運者可在兩分鐘內利用漏洞並組建Silent Train鏈條。 | Lumen | 已證實 |
| Lumen表示，企業平台在Silent Train中維持活躍一至三個月，並支援多次入侵。 | Lumen | 已證實 |
| Lumen表示，Silent Train針對提供廣泛管理存取權限及可見性的集中式管理及控制平面技術。 | Lumen | 已證實 |
| Lumen建議減少互聯網暴露、加快修補程式更新、加強存取控制及保留保安遙測資料。 | Lumen | 已證實 |
| CyberScoop報道，Black Lotus Labs通知電訊、政府、國防、通訊、大學及資訊科技界別數百名受害者。 | CyberScoop | 引述 |
| Michael Horka向CyberScoop表示，Volt Typhoon可在不足兩分鐘內以不同基礎設施重建新鏈條。 | Michael Horka, via CyberScoop | 引述 |
| SecurityScorecard表示，Volt Typhoon早期的JDYFJ殭屍網絡使用遭入侵的Cisco及Netgear路由器，以及位於荷蘭、拉脫維亞及德國的指令伺服器。 | SecurityScorecard | 引述 |
| CSOonline報道，Volt Typhoon利用過時的Cisco及Netgear路由器，入侵關鍵網絡。 | CSOonline | 引述 |
| CSOonline報道，重新出現的活動是在Volt Typhoon殭屍網絡部分組成遭拆除近十個月後出現。 | CSOonline | 引述 |
| SecurityScorecard的Ryan Sherstobitoff表示，Volt Typhoon回歸時比以往更複雜及更有決心。 | Ryan Sherstobitoff, via CSOonline | 引述 |
| SecurityScorecard表示，攻擊者在37日內入侵約30%可見的Cisco RV320/325路由器。 | SecurityScorecard, via CSOonline | 引述 |
| CSOonline報道，Volt Typhoon使用遍布歐洲及亞太區的伺服器，掩飾指令及控制行動。 | CSOonline | 引述 |
| CSOonline報道，Volt Typhoon使用JDYFJ SSL憑證叢集進行加密通訊。 | CSOonline | 引述 |
| CSOonline報道，新喀里多尼亞一部遭入侵的VPN設備連接亞太區及美洲。 | CSOonline | 引述 |
| CSOonline報道，據報Volt Typhoon曾入侵新加坡電信，之後再入侵以美國電訊商為目標的系統。 | CSOonline | 引述 |
| CSOonline報道，Lumen此前表示Volt Typhoon利用CVE-2024-39717植入竊取憑證的網頁外殼。 | CSOonline | 引述 |
| TechTarget報道，CISA表示Volt Typhoon至少五年持續存取部分受害者資訊科技環境。 | CISA, via techtarget | 引述 |
| Cynthia Kaiser表示，Volt Typhoon活動每日發生，並會在未來數年持續構成問題。 | Cynthia Kaiser, via techtarget | 引述 |
| CISA觀察到Volt Typhoon定期從儲存憑證的Active Directory外洩檔案。 | CISA, via techtarget | 引述 |
| Andrew Scott表示，Volt Typhoon以支援其他關鍵基礎設施的中小型企業為目標。 | Andrew Scott, via techtarget | 引述 |
| securityscorecard.com於2024年11月12日發表報告。 | securityscorecard.com | 已證實 |
未能核實
- 四次已確認的行動是否導致受影響受害者人數被披露，尚未確定
- 四次已確認的行動影響多少個機構，尚未確定
- 四次行動是否與較早前的JDYFJ殭屍網絡有關，尚未確定
