Volt Typhoon oculta ataques de día cero mediante el framework Silent Train

El 28 de octubre de 2026, Black Lotus Labs, la división de investigación de amenazas de Lumen, informó de que Volt Typhoon utiliza desde hace tres años un framework denominado Silent Train para ocultar sus operaciones. La infraestructura se basa en cadenas rotatorias de dispositivos comprometidos bajo demanda, que se eliminan y sustituyen después de cada operación.

Según los investigadores, Volt Typhoon explotó al menos cuatro vulnerabilidades de día cero contra infraestructuras perimetrales y de gestión. Entre los productos observados figuran VeloCloudOrchestrator, Cisco Catalyst SD-WAN, N-able N-central y Versa Director. Quest KACE también aparece como posible objetivo de una vulnerabilidad de día cero.

Silent Train combina infraestructura VPS situada fuera de Estados Unidos con dispositivos comprometidos que actúan como relés. Black Lotus Labs identificó módems Intelbras como nodos en el extranjero y dispositivos Netgear Orbi como saltos dentro de Estados Unidos. Los operadores emplean estos equipos para encadenar sesiones SSH y ocultar el origen de los ataques.

Las operaciones incluyen la explotación de vulnerabilidades, el robo de credenciales, la extracción de datos y el acceso remoto persistente. Los atacantes despliegan temporalmente servicios SSH, claves, archivos de configuración y utilidades ya disponibles en los sistemas. Las sesiones suelen durar menos de ocho horas, tras lo cual eliminan las herramientas y los archivos utilizados.

A comienzos de 2025, Black Lotus Labs observó una evolución hacia un modelo híbrido, con relés desechables junto a sistemas empresariales comprometidos que permanecían activos entre uno y tres meses. Los investigadores creen que Silent Train se reserva para objetivos de alto valor y operaciones manuales realizadas en la zona horaria de China Standard Time (CST).

Los objetivos identificados abarcan empresas de telecomunicaciones, organismos gubernamentales, contratistas de defensa, centros educativos, servicios públicos e infraestructuras críticas, proveedores de servicios por satélite, empresas de TI, MSPs, transporte, aviación y servicios de emergencia. Las regiones más afectadas fueron California, Texas y Hawaii.

Black Lotus Labs recomienda reforzar la seguridad de los sistemas de gestión centralizada, limitar el acceso desde Internet a las interfaces administrativas, aplicar rápidamente los parches y centralizar los registros con periodos de conservación más amplios. También aconseja revisar la actividad administrativa inusual y las conexiones de confianza con redes de clientes o socios.

Fuente: BleepingComputer.