Volt Tayfunu'nun Silent Train relay ağı, dört zero-day kampanyasının ardından çökertildi

Gizli bir relay ağının çökertilmesi

Lumen'in tehdit istihbaratı birimi Black Lotus Labs, Çin bağlantılı Volt Typhoon grubuna atfettiği, 2023 sonlarından bu yana aktif olan gizli çok atlamlı erişim ağı "Silent Train"i ortaya çıkardı. RedEye Threat Intelligence tarafından dev.to'da yayımlanan araştırmaya göre ağ çökertildi — ancak bu gerçekleşmeden önce, yönetim ve orkestrasyon ürünlerine karşı en az dört doğrulanmış zero-day istismar kampanyası yürüttü.

Kurban sayısı yüzlere ulaştı; telekomünikasyon sağlayıcıları, devlet kurumları, savunma yüklenicileri, uydu ve acil durum haberleşme operatörleri, üniversiteler, BT firmaları ile su, enerji, ulaşım, denizcilik, demiryolu, havacılık ve acil servisler gibi kritik altyapılar bu kapsamdaydı.

Ortak nokta hedef sınıfıydı. Volt Typhoon sürekli olarak diğer sistemleri yöneten platformların peşine düştü: endpoint yönetimi, network yönetimi, SD-WAN controller'ları ve orkestrasyon katmanları. Böyle bir ürünün tek bir örneğinin ele geçirilmesi, yönettiği her cihaza veya müşteriye görünürlük ve çoğu zaman kontrol sağlıyor.

Dört kampanya

Black Lotus Labs, Silent Train üzerinden yürütülen operasyonlara dört zero-day bağladı:

• CVE-2024-39717, Versa Director'daki bir dosya yükleme açığı; daha önce kimlik bilgilerini toplamak ve aşağı akış müşterilerine erişmek için VersaMem web shell'inin dağıtılmasıyla ilişkilendirilmişti.
• CVE-2025-8875 ve CVE-2025-8876, yönetilen servis sağlayıcıları tarafından yaygın biçimde kullanılan uzaktan izleme ve yönetim platformu N-able N-central'daki güvensiz deserialization ve komut enjeksiyonu açıkları.
• CVE-2026-20127, Cisco Catalyst SD-WAN Controller'daki bir kimlik doğrulama atlatma açığı.
• CVE-2026-16812, Arista VeloCloud Orchestrator'daki bir işletim sistemi komut enjeksiyonu açığı.

Araştırmacılar ayrıca, Ekim 2025'te yamalanmış Quest KACE'deki ek bir zero-day'in 30'dan fazla kurbana karşı kullanıldığından şüpheleniyor. Adı geçen her açık için satıcı yamaları mevcut ve bunların uygulanması temel risk azaltma adımı.

Relay zinciri nasıl çalıştı

Silent Train, geleneksel bir botnet değil katmanlı bir relay olarak yapılandırılmıştı. Operatör trafiği, kurbanına ulaşmadan önce birkaç ele geçirilmiş cihazdan geçiyordu ve her katmanın tanımlı bir rolü vardı. ABD dışındaki sanal özel sunucular tek kullanımlık hazırlık noktaları olarak hizmet verdi; tek bir oturum için sağlanıyor ve sonra atılıyordu. ABD dışındaki, ülkeler, sağlayıcılar ve donanım türleri arasında dağılmış ele geçirilmiş tüketici ve IoT cihazları, oturumların nereden kaynaklandığını gizledi. Son atlama ise ABD içindeki ele geçirilmiş bir cihazdı; bu da yabancı kaynak adresleri hedefleyen coğrafi sınırlamayı ve IP itibarı filtrelemeyi etkisiz kılıyordu.

Bu şekilde en az 27 cihaz sınıfı ağa dahil edildi. Tüketici ve IoT markaları arasında TP-Link, Intelbras, Ruckus Wireless, SATO, NETGEAR, Zyxel ve Cambium yer alırken, Fortinet, Cisco, PRTG, Mirth Connect ve CyberPanel'in kurumsal ürünleri de relay havuzunda görüldü.

Ağı önceki Çin relay altyapılarından ayıran şey geçiciliğiydi. Operatörler kalıcı düğümler tutmak yerine, açık web arayüzlerini ihtiyaç duyuldukça ele geçirdi, bir cihaz üzerinden SSH erişimini zincirlemek için yeterli araçları dağıttı — geçici SSH servisleri, anahtarlar, yapılandırma dosyaları ve yerleşik sistem araçları — ve oturum bittiğinde her şeyi kaldırdı. Black Lotus Labs bu modeli, gerektiği gibi istismar edilen, özenle seçilmiş hedeflere yönelik, her operasyondan sonra temizlenen ve sürekli yenilenen cihaz zincirleri olarak tanımlıyor. Sinkhole edilecek kalıcı bir komuta-kontrol sunucusu ya da parmak izi alınacak uzun ömürlü bir relay yoktu.

Önceki çökertmelere bir yanıt

Zaman çizelgesi, tasarımın önceki altyapının kaybına doğrudan bir yanıt olduğunu gösteriyor. Black Lotus Labs bu yeteneğin ilk izlerini Kasım 2023 civarına, Volt Typhoon dahil several Çin bağlantılı aktörlerle ilişkilendirilen IoT botneti KV-botnet'in ilk çökertilmesinden birkaç hafta öncesine tarihlendiriyor. Ocak 2024 sonuundaki ikinci çökertilmenin ardından Silent Train faaliyeti keskin biçimde arttı ve araştırmacıların belgelediği tek kullanımlık, çeşitlendirilmiş düzene oturdu. Kalıcı botnetlerin çökertilmesi bu aktöre maliyet dayattı; aktörün adaptasyonu ise kalıcı bileşeni tamamen ortadan kaldırmak oldu.

Neden önemli

Araştırmadan çıkan iki sonuç savunmacıların dikkatini hak ediyor. Birincisi, Volt Typhoon zero-day'leri özellikle yönetim düzlemi ürünlerine harcıyor, üstelik en az beş satıcıda ve tekrar tekrar. Bu platformları çalıştıran kurumlar — ve müşterileri adına bunları çalıştıran MSP'ler — tesadüfi değil bilinçli öncelikli hedefler.

İkincisi, altyapı temelli tespit bu yöntemler karşısında zemin kaybediyor. Son atlama ABD içinde ele geçirilmiş bir cihaz olduğunda ve relay zinciri tek oturumdan sonra kaybolduğunda, kaynak IP itibarı ve coğrafi filtreler savunmacılara neredeyse hiçbir şey söylemiyor. Araştırmacılar görünürlüğün platformların kendisinden gelmesi gerektiğini savunuyor: kimlik doğrulama olayları, yapılandırma değişiklikleri, yeni oluşturulan yönetici hesapları, beklenmedik dosya yazımları ve cihazdan yapılan giden bağlantılar.

Silent Train'in kendisi çökertildi, ancak ardındaki yöntemler kanıtlanmış durumda. Yeni altyapı üzerinde yeniden ortaya çıkmasını bekleyin ve adı geçen CVE'leri hemen yamalayın — yamanın var olmadığı pencere, tam da bu aktörün dört kez operasyon yapmayı seçtiği yer.