HAWAII / LONDON (IT BOLTWISE) – Laut Lumen Technologies Black Lotus Labs operiert der mit China verknüpfte Angreifer Volt Typhoon über ein verdecktes Zugriffsnetz namens Silent Train. Die Kampagnen kombinieren vier bestätigte Zero-Day-Angriffe mit rotierenden Kompromittierungen von SOHO-, IoT- und Unternehmenskomponenten. Ziel sind besonders Systeme zur zentralen Verwaltung und Steuerung von Netzwerken, etwa SD-WAN-Controller und Orchestratoren. Auffällig ist zudem die schnelle Aufbau-und-Abbau-Logik der Sitzungen, die Abwehr und Zuordnung erschwert.
Die neue Detailarbeit von Lumen Technologies Black Lotus Labs rückt eine Methodik in den Fokus, die für viele Organisationen besonders unkomfortabel ist: Nicht die „klassische“ Malware-Verteilung steht im Mittelpunkt, sondern ein mehrstufiges Zugangskonzept, das sich wie ein stiller Schatten über bestehende Infrastruktur legt. Die Berichte ordnen die Aktivitäten dem mit China verknüpften APT-Umfeld Volt Typhoon zu, das schon seit mindestens 2021 mit Schwerpunkt auf kritischen Netzwerken und Kommunikationsstrukturen beobachtet wurde. Im Zentrum steht dabei das verdeckte Zugriffskonzept „Silent Train“, das so gestaltet sein soll, dass einzelne Schritte der Angriffsabfolge schwerer zurückzuverfolgen sind und Verteidiger weniger konkrete Ansatzpunkte für Gegenmaßnahmen erhalten.
Technisch beschrieben basiert Silent Train auf schnell wechselnden Ketten aus kompromittierten Geräten. Black Lotus Labs nennt explizit, dass die Ketten aus SOHO- und IoT-Geräten sowie aus Komponenten der Unternehmensumgebung bestehen und „on demand“ ausgenutzt werden. Dazu kommt ein Operationsmodell, das auf Anti-Forensik, segmentierte Abläufe und ein aufgeräumtes Ende nach jeder Aktion abzielt, um sowohl Erkennung als auch Attribution zu minimieren. Genau diese Mischung erklärt auch, warum die Kampagnen nicht nur auf einmalige Ausnutzung setzen, sondern nach dem Einstieg gezielt „weiteren Zugriff“ aufrechterhalten sollen – von der Ausnutzung einer Schwachstelle über Credential Access bis hin zur Exfiltration von Daten und dem Halten von Zugriffsrechten im Zielumfeld.
Die Angriffswirkung zeigt sich besonders an den betroffenen Zielklassen. Laut Black Lotus Labs wurden nicht zufällig ausgewählte Systeme kompromittiert, sondern solche, die „skalierbaren“ Zugang zu nachgelagerten Kunden, sensiblen Netzen oder strategischen Programmen ermöglichen. In der Praxis bedeutet das: Das Augenmerk lag auf Plattformen für Endpoint- und Network-Management, auf SD-WAN-Orchestrierung sowie auf Control-Plane-Technologien, die in Unternehmensarchitekturen häufig eine Art Schaltstelle zwischen Administration, Routing-Logik und Policy-Durchsetzung bilden. Für Angreifer ist das doppelt attraktiv: Wer Management- und Steuerungskomponenten kompromittiert, kann mit vergleichsweise wenig Eingriffen breit sichtbare Kontrolle erlangen, statt einzelne Workloads isoliert zu manipulieren.
Inhaltlich liefert der Bericht außerdem konkrete Zero-Day-Hinweise. Im Kontext von Volt Typhoon wird das Nutzungsbild als vier bestätigte Zero-Day-Kampagnen beschrieben, bei denen Silent Train als Zugriffsnetz gedient haben soll. Genannt werden unter anderem CVE-2025-8875 und CVE-2025-8876 als Sicherheitslücken in N-able N-central, einmal mit Fokus auf unsichere Deserialisierung und einmal auf Command Injection. Weitere Punkte sind CVE-2026-20127 im Cisco Catalyst SD-WAN Controller, bei dem es um eine Authentifizierungsumgehung geht, sowie CVE-2026-16812 in Arista VeloCloud Orchestrator mit einem OS-Command-Injection-Problem. Ergänzend wird separat davon ausgegangen, dass Volt Typhoon eine wahrscheinlich noch nicht gepatchte Schwachstelle in Quest KACE ausgenutzt haben soll, bevor ein Fix im Oktober 2025 veröffentlicht wurde; die Kampagne wird dabei auf mehr als 30 betroffene Ziele geschätzt.
Bemerkenswert ist dabei nicht nur „welche“ Software betroffen war, sondern „wie“ die Infrastruktur während der Kampagne organisiert war. Black Lotus Labs beschreibt, dass sich Silent Train rund um November 2023 herausgebildet haben soll – also kurz vor Störungen im Umfeld des KV-botnet, einem IoT-Botnetz, das in Zusammenhang mit mehreren China-nexus staatlich unterstützten Akteuren gebracht wird. Nach einer späteren zweiten Störung Ende Januar 2024 sei die operative Aktivität laut Bericht deutlich angewachsen und gleichzeitig auf eine ephemere Infrastruktur umgeschaltet worden. Statt persistenten „Relays“ oder dauerhaftem C2-Backbone setzt das Modell auf kurzlebige, selbstverwaltete Sitzungen, die im Schnitt etwa vier Stunden dauern sollen, während einzelne Sessions nur wenige Minuten umfassen könnten.
Die Kettenlogik wird von Black Lotus Labs als „layered, multi-hop framework“ charakterisiert. Dabei soll es Rollen in der Kette geben: Virtuelle Server dienen als temporäre Staging-Station außerhalb der USA, kompromittierte SOHO- und IoT-Geräte in verschiedenen Ländern sollen den Startpunkt verschleiern, und kompromittierte Geräte in den USA fungieren als Exit-Point, um Geofencing und IP-Reputation-Blocklisten zu umgehen. Ergänzt wird das durch die Aussage, dass mindestens 27 Geräteklassen aus den Bereichen SOHO/IoT und Enterprise-Plattformen in dieses Netzwerk integriert gewesen seien, darunter sowohl Modem- und WLAN-Komponenten als auch diverse Management- und Integrationssysteme. Black Lotus Labs hebt außerdem hervor, dass die Angreifer nur die für die jeweilige Sitzung benötigten Werkzeuge einsetzten, dann Artefakte entfernten und die Kette wieder abbauten – inklusive temporärer SSH-Dienste, Schlüssel, Konfigurationsdateien und „living off the land“-Utilities.
Für Unternehmen und Sicherheitsverantwortliche ist die strategische Konsequenz klar: Wer sich nur auf klassische Netzwerksignaturen oder isolierte Endpoint-Abwehr stützt, verfehlt den Kern des Problems, weil der Angriff über zentrale Control-Plane- und Management-Funktionen Reichweite gewinnt. Besonders relevant wird das in Regionen, in denen laut Black Lotus Labs operative Schwerpunkte liegen, darunter Hawaii, Kalifornien und Texas – also Gebiete mit bedeutenden Militärstandorten, Telekommunikationsinfrastruktur, Verteidigungsdienstleistern und Satellitenkommunikation. Der Bericht skizziert damit auch eine Entwicklung Richtung hybrider Architektur: Silent Train soll bis Anfang 2025 von einem komplett ephemeren Relaying zu einer gemischten Struktur übergegangen sein, bei der einige enterprise-nahe Geräte durchschnittlich ein bis drei Monate genutzt werden. Das macht Frühindikatoren schwieriger, aber es erhöht gleichzeitig den Wert von Überwachung auf Management- und Orchestrierungs-Ebenen, weil genau dort die „Kontinuität“ stattfindet, die Angreifer ohne sichtbares Dauer-C2 aufbauen.
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Silent Train: Wie Volt Typhoon Zero-Days über eine mehrstufige Zugriffskette nutzt" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Silent Train: Wie Volt Typhoon Zero-Days über eine mehrstufige Zugriffskette nutzt" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Silent Train: Wie Volt Typhoon Zero-Days über eine mehrstufige Zugriffskette nutzt« bei Google Deutschland suchen, bei Bing oder Google News!