Volt Typhoon betrieb verdecktes Relay-Netz „Silent Train" für vier Zero-Day-Kampagnen

Erstmals aufgefallen ist Silent Train nach Angaben von Black Lotus Labs Ende 2023. Das Netz setzt auf Anti-Forensik, abgeschottete Teiloperationen und das Aufräumen nach jedem Einsatz, um Entdeckung und Zuordnung zu erschweren. Es unterstützt zentrale Angriffsphasen: das Ausnutzen von Schwachstellen, den Zugriff auf Zugangsdaten, das Abfließen von Daten sowie den dauerhaften Zugang zu Opferumgebungen.

Zwei Merkmale heben die Aktivität hervor. Zum einen wählte die Gruppe gezielt Organisationen aus, über die sich Zugang zu nachgelagerten Kunden, sensiblen Netzen oder strategischen Programmen skalieren lässt. Zum anderen richteten sich die Angriffe auf Endpoint-Management-Plattformen, Netzwerkmanagementsysteme, SD-WAN-Orchestratoren und Control-Plane-Technologien – also auf Systeme mit breiter Sicht und Kontrolle über große Unternehmensumgebungen.

Zu den Opfern zählen Telekommunikationsanbieter, Regierungsstellen, Rüstungsunternehmen, Satelliten- und missionskritische Kommunikationsdienste, Universitäten, IT-Firmen sowie kritische Infrastruktur aus den Bereichen Wasser, Energie, Verkehr, Seefahrt, Bahn, Luftfahrt und Notfalldienste.

Volt Typhoon, auch bekannt als Bronze Silhouette, Insidious Taurus, UNC3236, Vanguard Panda und Voltzite, gilt als staatlich gestützte Gruppe mit Bezug zu China und ist mindestens seit 2021 aktiv. Ihr Schwerpunkt liegt auf Netzen kritischer Infrastruktur, insbesondere in den Sektoren Kommunikation, Energie, Verkehr sowie Wasser und Abwasser.

Bereits zuvor war die Gruppe dabei beobachtet worden, eine Datei-Upload-Schwachstelle in Versa Director als Zero-Day auszunutzen (CVE-2024-39717), um eine eigens entwickelte Web-Shell namens VersaMem einzuschleusen, die Zugangsdaten abgriff und Zugriff auf nachgelagerte Kunden ermöglichte. Nach den Erkenntnissen von Black Lotus Labs war dies nur eine von vier bestätigten Zero-Day-Kampagnen über Silent Train. Die übrigen drei Schwachstellen:

• CVE-2025-8875 und CVE-2025-8876 – unsichere Deserialisierung und Command Injection in N-able N-central
• CVE-2026-20127 – Umgehung der Authentifizierung im Cisco Catalyst SD-WAN Controller
• CVE-2026-16812 – Command Injection auf Betriebssystemebene im Arista VeloCloud Orchestrator

Zusätzlich steht der Verdacht im Raum, dass Volt Typhoon eine vermutliche Zero-Day-Lücke in Quest KACE ausnutzte, bevor diese im Oktober 2025 geschlossen wurde. Diese Kampagne soll mehr als 30 Opfer betroffen haben.

Entstanden ist die verdeckte Zugangsstruktur etwa im November 2023 – wenige Wochen vor der ersten Störaktion gegen das KV-Botnet, ein IoT-Botnet, das mit mehreren staatlich gestützten Akteuren mit China-Bezug in Verbindung gebracht wird, darunter Volt Typhoon. Nach der zweiten Zerschlagung des Botnets Ende Januar 2024 nahm die operative Aktivität von Silent Train deutlich zu, gleichzeitig wechselte die Gruppe auf kurzlebige Infrastruktur mit unterschiedlichsten Gerätetypen in verschiedenen Regionen. „Statt weiterhin dauerhafte Infrastruktur zu nutzen, wechselte Volt Typhoon zu einem Modell mit Einwegketten kompromittierter Geräte, die bei Bedarf neu aufgebaut werden konnten", so Black Lotus Labs. Die Gruppe habe vergängliche Infrastruktur rasch zusammengesetzt und wieder abgebaut und so ein widerstandsfähiges, abgeschottetes Gerüst geschaffen, das wertvolle Zugänge schützte.

Black Lotus Labs beschreibt Silent Train als „geschichtetes Multi-Hop-Gerüst": Schadverkehr wird über mehrere Geräte geleitet, bevor er das Ziel erreicht, um die Herkunft gegenüber Opfern und Verteidigern zu verschleiern. Jedes Glied der Kette hat dabei eine feste Aufgabe:

• Virtuelle private Server (VPS) als temporärer Ausgangspunkt, die nach jeder Sitzung bereitgestellt und wieder verworfen werden; die Sitzungen beginnen auf VPS-Infrastruktur außerhalb der USA.
• Kompromittierte SOHO- und IoT-Geräte außerhalb der USA, verteilt über Länder, Anbieter und Hardwaretypen, die den Ausgangspunkt des Angriffs verbergen.
• Kompromittierte Geräte in den USA als Exit-Knoten unmittelbar vor dem inländischen Opfer, um Geofencing und IP-Reputationssperren zu umgehen.

Mindestens 27 Geräteklassen wurden ausgenutzt und in das verdeckte Netz eingegliedert – von SOHO- und IoT-Geräten wie TP-Link, Intelbras, Ruckus Wireless, SATO, NETGEAR, Zyxel und Cambium bis zu Unternehmensplattformen wie Fortinet, Cisco, PRTG, Mirth Connect und CyberPanel.

„Silent Train zeichnet sich durch operative Disziplin aus und setzt auf kurzlebige, selbst verwaltete Sitzungen statt auf dauerhafte Relays oder C2-Infrastruktur", erklärten die Forscher. Die Betreiber nutzten dafür exponierte Weboberflächen auf SOHO-, IoT- und anderen Relay-Geräten aus und installierten nur das Nötigste, um verketteten SSH-Zugang über den kompromittierten Knoten zu ermöglichen: temporäre SSH-Dienste, Schlüssel, Konfigurationsdateien und mitgelieferte Systemwerkzeuge im Sinne von „Living off the Land". Am Ende einer Sitzung wurde jedes Artefakt entfernt und die Kette abgebaut. Im Schnitt dauerten die Sitzungen rund vier Stunden, manche nur Minuten.

Auffällig ist zudem die feste Rollenverteilung einzelner Gerätetypen innerhalb des Netzes: Intelbras-Modems tauchten ausschließlich als Relay-Knoten auf, während Netgear-Orbi- und Fortinet-FortiGate-Geräte als US-basierte Zwischen- und Exit-Punkte dienten und den Kontakt zum Opfer herstellten. Diese bewusste Abschottung über die Schichten hinweg hält bestimmte Rollen konstant, während die darunterliegende Infrastruktur laufend wechselt – was die Zuordnung zusätzlich erschwert.

Anfang 2025 entwickelte sich Silent Train den Erkenntnissen zufolge von einem vollständig vergänglichen Relay-Netz zu einer hybriden Architektur: Geräte der Unternehmensklasse wurden im Schnitt ein bis drei Monate behalten, statt nach jedem Einsatz ausgetauscht zu werden. In der weiteren Reifung kamen Varianten mit umgekehrten Tunneln hinzu, die quelloffene Proxys wie Chisel und FRP einsetzten, um Datenverkehr von infizierten Geräten an vorgelagerte Infrastruktur zu schicken.

Innerhalb der USA konzentrierten sich die Operationen auf Hawaii, Kalifornien und Texas – Bundesstaaten mit großen Militärstandorten, Telekommunikationsinfrastruktur, Rüstungsunternehmen, Satellitenkommunikationsanbietern und kritischen Logistiknetzen. „Die Opferstruktur deutet auf bewusste Bemühungen hin, den Zugang zu kritischen Ökosystemen zu halten, die Verteidigung, Logistik, Kommunikation sowie militärische und zivile Abläufe tragen – insbesondere bei erhöhten Spannungen oder Krisen im indopazifischen Raum", so Black Lotus Labs. Durch das wiederholte Anvisieren zentraler Managementplattformen und Control-Plane-Technologien zeige Silent Train, wie systematisch Volt Typhoon Zugang zu einigen der folgenreichsten Netzwerke der Vereinigten Staaten verfolge und bewahre.