De aan China gelieerde cyber-espionagegroep Volt Typhoon wordt gekoppeld aan een covert toegangscampagne via een netwerk dat Silent Train wordt genoemd. Volgens een rapport van Lumen Technologies Black Lotus Labs is deze infrastructuur ingezet voor het misbruiken van meerdere zero-days én voor strategische, langduriger toegang tot doelomgevingen.
Wat dit onderzoek extra urgent maakt, is het herhaalde richten op systemen die binnen ondernemingen en vitale sectoren brede zichtbaarheid, controle en toegang kunnen geven—van beheerplatformen tot netwerk- en orkestratietools.
Wat is Volt Typhoon Silent Train?
Silent Train is een “covert access network” dat rond eind 2023 zou zijn ontstaan. Het werkt met rotating chains van gecompromitteerde apparaten: denk aan SOHO- en IoT-apparatuur, aangevuld met delen van enterprise-infrastructuur. In plaats van één vaste route te gebruiken, schakelen aanvallers naar wisselende combinaties van besmette schakels.
Black Lotus Labs beschrijft daarnaast anti-forensische aanpakken: compartmentalized operaties, opschonen na afloop en het beperken van sporen zodat detectie en toeschrijving moeilijker worden.
Waarom richt Silent Train zich zo gericht?
De activiteit valt volgens het rapport op door twee duidelijke kenmerken. Ten eerste selecteert de actor doelwitten die schaalbare toegang kunnen leveren aan downstream klanten, gevoelige netwerken of strategische programma’s. Ten tweede focust de campagne nadrukkelijk op endpoint management, network management, SD-WAN orchestrators en control plane-technologieën.
Dat zijn precies de lagen waar veel organisaties beleid, updates, connectiviteit en orkestratie centraal beheren. Met andere woorden: een succesvolle compromis kan de deur openzetten voor bredere beweging binnen een organisatie.
Doelwitten: van telecom tot water en defensie
Er zouden honderden slachtoffers zijn geïdentificeerd in sectoren zoals telecom, overheid, defensiecontractors, satelliet- en mission-critical communicatie, universiteiten, IT-bedrijven en kritieke infrastructuur. Voorbeelden van getroffen domeinen zijn water, energie, transport, maritieme dienstverlening, spoor, luchtvaart en noodhulpdiensten.
De groep Volt Typhoon staat al langer bekend om het aanvallen van kritieke infrastructuur—met name communicatie, energie en transport. In de praktijk betekent dit dat de gevolgen van een compromis verder kunnen reiken dan één netwerk of één organisatie.
Vier bevestigde zero-day campagnes
Het onderzoek noemt vier campagnes met bevestigde zero-days die via Silent Train zouden zijn uitgevoerd. Daarnaast wordt vermeld dat er nog een apart, vermoedelijk zero-day incident was bij Quest KACE, dat pas in oktober 2025 werd gepatcht.
- CVE-2024-39717 (Versa Director): eerder misbruikt als zero-day om een webshell te leveren (VersaMem) voor het vergaren van credentials en het mogelijk maken van toegang tot downstream klanten.
- CVE-2025-8875 en CVE-2025-8876 (N-able N-central): insecure deserialization en command injection-kwetsbaarheden.
- CVE-2026-20127 (Cisco Catalyst SD-WAN Controller): een authentication bypass-kwetsbaarheid.
- CVE-2026-16812 (Arista VeloCloud Orchestrator): command injection op OS-niveau.
Qua omvang wordt genoemd dat de Quest KACE-incidenten waarschijnlijk meer dan 30 slachtoffers hebben geraakt voordat de patch er kwam.
De aanvalstechniek: multi-hop ketens met korte sessies
Silent Train is volgens Black Lotus Labs ontworpen als een layered, multi-hop framework. In plaats van direct naar het doel te gaan, wordt verkeer via meerdere gecompromitteerde apparaten gerouteerd. Zo worden oorsprong en intentie minder zichtbaar voor verdedigers.
Elke “link” heeft een rol. Zo zouden sessies vaak starten via tijdelijke staging via VPS buiten de VS. Vervolgens worden aanvallerslussen voortgezet met gecompromitteerde SOHO- en IoT-apparaten verspreid over meerdere landen. Ten slotte komen er VS-gebaseerde exit-achtige apparaten, die helpen om geofencing en IP-reputatieblokkades te omzeilen.
Daarnaast beschrijft het rapport dat sessies gemiddeld ongeveer vier uur duurden en soms slechts minuten. De aanvallers zouden alleen de tooling inzetten die nodig was om chained SSH-toegang mogelijk te maken. Op het eind worden artefacten verwijderd en wordt de keten weer uit elkaar gehaald.
Waarom “operational discipline” ertoe doet
Een opvallend element is de focus op korte, self-managed sessies in plaats van permanente relays of klassieke C2-infrastructuur. Dit patroon maakt het lastiger om aanvallen te vangen op basis van langdurige verbindingen.
Ook de mate van compartmentalization speelt mee: sommige device types zouden een vaste rol krijgen binnen de keten, terwijl de onderliggende infrastructuur continu wisselt. Dat bemoeilijkt attributie doordat dezelfde posities in de keten niet per se via dezelfde hardware worden ingevuld.
Evolutie: van volledig ephemeral naar hybride infrastructuur
Begin 2025 zou Silent Train zijn verschoven van een volledig ephemeral relay-netwerk naar een hybride aanpak. In plaats van elke keer alles te vernieuwen, zouden enterprise-apparaten gemiddeld één tot drie maanden blijven terugkomen.
Later zouden varianten ook gebruikmaken van reverse-tunnels met open-source proxies zoals Chisel en FRP. Daarmee kunnen aanvallers mogelijk verkeer slimmer terugleiden naar upstream infrastructuur, terwijl de zichtbaarheid voor verdedigers nog verder afneemt.
Geografische focus in de VS
Binnen de VS zouden de activiteiten zich richten op staten zoals Hawaii, Californië en Texas. Het rapport koppelt dit aan de aanwezigheid van belangrijke militaire installaties, telecominfrastructuur, defensiecontractors, satellietcommunicatieproviders en kritieke logistieke netwerken.
De conclusie: Silent Train draait om het verwerven, beschermen en behouden van strategische toegang op schaal, met een terugkerend patroon van het aanvallen van centraal beheerde platformen en control plane-technologie.
Wat kun je nu praktisch doen?
Hoewel dit onderzoek vooral beschrijft wat er is gezien, is de kern boodschap direct toepasbaar: organisaties moeten hun blootstelling rond beheer- en orkestratielagen streng controleren. Pak daarom de volgende punten aan:
- Patch prioriteren voor netwerkbeheer, SD-WAN controllers en orchestrators—zeker wanneer vendor-adviezen authentication bypass of command injection bevatten.
- Beheertoegang beperken: gebruik segmentatie, sterke authenticatie en bewaak afwijkend gedrag rond admin-interfaces.
- Monitoring op korte sessies: let niet alleen op langdurige verbindingen, maar ook op kortstondige SSH-activiteit, tijdelijke services en snelle configuratiewijzigingen.
- Inventaris van SOHO/IoT: gecompromitteerde relay-achtige apparaten kunnen ook binnen “low impact” segmenten opduiken.
Als je wilt verdiepen hoe logische fouten in browsersystemen en sandbox-constructies kunnen leiden tot grotere impact, lees dan ook Logic bugs breken Microsoft Edge sandbox: zo werkt het. Dat artikel gaat weliswaar over een ander domein, maar helpt om te begrijpen waarom uitbuiting van kwetsbaarheden in controlelagen zo gevaarlijk kan worden.
Daarnaast is het nuttig om security-initiatieven rondom patch management en kwetsbaarheden in web- en communicatiecomponenten scherp te houden. Een voorbeeld van recente patch-aandacht vind je in Chrome en Firefox updates: patch 200+ kwetsbaarheden.
Conclusie
Volt Typhoon Silent Train laat zien hoe een staatsgelinkte actor covert toegang kan organiseren via wisselende ketens van gecompromitteerde apparaten. Door zero-days te combineren met multi-hop routing, anti-forensische discipline en snelle sessies, blijft de aanval voor verdedigers vaak buiten beeld—totdat er al toegang is verkregen.
Voor organisaties betekent dit vooral één ding: richt je verdediging niet alleen op eindpunten, maar ook op de beheerlagen die zichtbaarheid en controle bepalen. Patch snel, beperk toegang en surveilleer ook kortstondige afwijkingen in beheer- en netwerkfunctionaliteit.
Bron: https://thehackernews.com/2026/10/volt-typhoon-used-covert-silent-train.html
