Un informe de Lumen Technologies Black Lotus Labs detalla que el grupo vinculado a China conocido como Volt Typhoon ha desplegado una red de acceso encubierta, bautizada Silent Train, para ejecutar al menos cuatro campañas que utilizaron vulnerabilidades zero-day y para mantener acceso persistente a entornos de alto valor.
Qué es Silent Train y cómo funciona
Silent Train es una infraestructura efímera y rotatoria formada por cadenas de dispositivos comprometidos —desde equipos SOHO (routers domésticos y dispositivos de oficina pequeña) e IoT hasta plataformas empresariales— que sirven como relés en saltos múltiples para ocultar el origen de las operaciones. Según Black Lotus Labs, sus operadores aprovechan interfaces web expuestas para añadir únicamente las herramientas necesarias (por ejemplo, servicios SSH temporales, claves y utilidades nativas) y limpian las trazas al finalizar cada sesión.
El diseño se apoya en la fragmentación de roles: ciertos tipos de equipos aparecen sistemáticamente en posiciones concretas dentro de la cadena —por ejemplo, algunos routers actúan solo como relés— y la duración típica de una sesión operativa fue corta (las sesiones promediaron unas cuatro horas, con algunas de minutos), lo que reduce la ventana de detección y favorece la atribución difícil.
Qué cambia para administradores y responsables de infraestructuras
El hallazgo implica que los atacantes han pasado de una infraestructura persistente a un modelo de acceso transitorio y, más tarde, a una arquitectura híbrida donde dispositivos empresariales permanecen comprometidos durante semanas o meses. Para administradores y responsables de seguridad esto significa que:
- La exposición de interfaces de gestión (paneles web, consolas de administración y APIs) en dispositivos SOHO, IoT y plataformas empresariales es un vector crítico que debe reducirse o protegerse.
- Las intrusiones pueden usar múltiples saltos y artefactos temporales, de modo que las investigaciones deben considerar infraestructura efímera y relés intermedios al rastrear accesos.
- La limpieza forense es más compleja: la ausencia de infraestructura persistente no implica que no haya comprometidos dispositivos en la cadena que permitan reentrada.
Impacto y objetivos observados
Black Lotus Labs reporta cientos de víctimas en sectores que incluyen telecomunicaciones, organismos gubernamentales, contratistas de defensa, servicios satelitales y operaciones críticas —agua, energía, transporte, aviación y servicios de emergencia— así como universidades y empresas de TI. En Estados Unidos, estados como Hawái, California y Texas figuraron entre los focos de actividad, debido a la concentración de instalaciones militares, operadores de telecomunicaciones y contratistas estratégicos.
El informe también conecta campañas concretas de Volt Typhoon que explotaron vulnerabilidades zero-day en plataformas de gestión y otros productos, y menciona que Silent Train facilitó la explotación, el robo de credenciales y la exfiltración de datos, además de preservar acceso a clientes de interés estratégico.
Recomendaciones prácticas
Ante el uso de cadenas rotatorias de dispositivos comprometidos, Black Lotus Labs recomienda —y en general se aconseja en seguridad de infraestructuras críticas— reducir la exposición de interfaces administrativas a Internet, aplicar segmentación de red, forzar autenticación fuerte y uso de claves, vigilar conexiones salientes inusuales y mantener un programa de gestión de parches y auditoría para dispositivos SOHO/IoT y plataformas de control. Además, los equipos de respuesta deben incluir la búsqueda de artefactos temporales y evaluar dispositivos intermedios como posibles puntos de reentrada.
Nota: El informe atribuye a Volt Typhoon la operativa de Silent Train y documenta al menos cuatro campañas con zero-days; no obstante, los detalles técnicos concretos de todas las vulnerabilidades no se reproducen aquí salvo los casos citados por los investigadores.
Lee también:
- PHP2Shell: sin confirmación de sitios WordPress comprometidos; actualice PHP y reinícielo
- WordPress 7.1.4 corrige 22 fallos y cierra una ventana de RCE sin cuenta en actualizaciones
Fuente: The Hacker News
