Volt Typhoon'un gizli erişim ağı Silent Train ortaya çıkarıldı, ağ üzerinden en az dört sıfırıncı gün açığı kullanıldı

İletişim şirketi Lumen’in tehdit araştırma birimi Black Lotus Labs, 28 Ekim’de Çin devlet destekli Volt Typhoon grubunun kullandığı ve “Silent Train” adını verdiği gizli erişim ağına dair bir rapor yayımladı. Black Lotus Labs bu ağı üç yıldır izliyor. Rapora göre bu izleme, stratejik öneme sahip sektörlerde yüzlerce kuruma uyarı gönderilmesini sağladı. Bu uyarıların ardından yapılan olay incelemeleri, ilk erişim için kullanılan sıfırıncı gün açıklarını ortaya çıkardı.

Silent Train’in işleyişi

Black Lotus Labs’a göre Silent Train ilk kez 2023 sonunda görüldü. Ağdaki düzenli etkinlik, Volt Typhoon’un daha önce kullandığı KV-botnet’in 2023 sonunda çökertilmesinden kısa süre önce başladı ve botnete yönelik ikinci müdahaleden sonra arttı. Rapora göre grup, klasik bot ağlarının kalıcı altyapısı yerine gerektiğinde kurulup dağıtılan cihaz zincirlerine geçti. Saldırganlar her operasyon için ev ve küçük ofis yönlendiricileri, nesnelerin interneti cihazları ve kurumsal sistemlerden bir zincir kuruyor, işi bitince araçlarını silip zinciri dağıtıyor.

Rapora göre oturumlar ABD dışındaki sanal sunuculardan başlıyor, ABD dışındaki ele geçirilmiş cihazlardan geçiyor ve hedefe ABD içindeki ele geçirilmiş bir cihaz üzerinden ulaşıyor. Bu son adım, saldırı trafiğinin yerel trafiğe karışmasını ve coğrafi engellemeleri atlatmasını sağlıyor. Black Lotus Labs bu operasyonlarda 27’den fazla cihaz türünün kullanıldığını gördü. Bunlar arasında TP-Link yönlendiriciler, Netgear Orbi cihazları, Fortinet cihazları ve CyberPanel sunucuları var. Her cihaz türünün zincirde değişmeyen bir rolü vardı. Örneğin Intelbras modemler yalnızca yurt dışı aktarma noktası, Netgear Orbi cihazları ise kurbanla doğrudan konuşan ABD’deki son adım olarak kullanıldı.

Oturumlar ortalama dört saat sürdü, bazıları yalnızca birkaç dakika. Saldırganlar bir cihaz zincirini iki dakikadan kısa sürede kurabildi. 2025 başından itibaren ele geçirilmiş kurumsal sistemler bir ila üç ay boyunca zincirde tutuldu, bazı operasyonlarda saldırganla kurban arasında altıya varan ara adım vardı. Etkinlik ağırlıklı olarak hafta içi, Çin saatiyle 09.00 ile 22.00 arasında yoğunlaştı ve Çin Yeni Yılı döneminde birkaç hafta azaldı. Black Lotus Labs bunu ağın insanlar tarafından yönetildiğinin göstergesi olarak değerlendiriyor.

Sıfırıncı gün açıkları

Rapora göre Volt Typhoon, Silent Train üzerinden çok sayıda kurumda geniş yetki ve görünürlük sağlayan uç nokta ve ağ yönetim sistemlerini, SD-WAN orkestratörlerini ve benzeri merkezi yönetim sistemlerini hedef aldı. Black Lotus Labs’ın izlemesi en az dört doğrulanmış ve bir olası sıfırıncı gün kampanyasının ortaya çıkmasına yardımcı oldu:

• Quest KACE: Kayıtlar sınırlı olduğu için açığın belirlenmesi zorlaştı. Black Lotus Labs, grubun burada bir sıfırıncı gün açığı kullandığını orta güvenle değerlendiriyor. Kampanya 30’dan fazla kurbanı etkiledi ve Quest’in Ekim 2025 güncellemelerinden sonra azaldı.
• Versa Director: Black Lotus Labs bu istismarı 2024 ortasında kamuoyuyla paylaşmıştı.
• N-able N-Central: Grup, CVE-2025-8875 ve CVE-2025-8876 numaralarını alan, o sırada bilinmeyen bir açık zincirini kullandı.
• Cisco Catalyst SD-WAN: Grup, CVSS puanı 10 olan CVE-2026-20127’yi en geç 2025 sonunda kullanıyordu ve Cisco’nun açığı Şubat 2026’da duyurmasından sonra da kullanmaya devam etti.
• VeloCloud Orchestrator: Grup, sonradan CVE-2026-16812 numarasını alan bir sıfırıncı gün açığını kullandı. Bu ürün, bu ay saldırılarda kullanılan başka bir açığı yazdığımız Arista VeloCloud Orchestrator.

Rapora göre olay sonrası incelemelerde bellekte çalışan web kabukları, kimlik bilgisi toplama ve yönetim sistemlerinin kendi uzaktan yönetim ve dosya aktarma özelliklerinin kötüye kullanıldığı görüldü. Bazı olaylarda saldırganlar kayıtları sildi ya da değiştirdi.

Hedefler arasında telekomünikasyon şirketleri, ABD hükümeti, savunma yüklenicileri, uydu ve kritik iletişim hizmeti sağlayıcıları, yönetilen hizmet sağlayıcılar, askeri bağlantılı üniversiteler ve su, enerji, ulaşım gibi kritik altyapı kurumları var. En çok hedef alınan eyaletler Hawaii, Kaliforniya ve Teksas. Black Lotus Labs bu tabloyu, özellikle Hint-Pasifik bölgesinde gerginlik ya da kriz dönemlerinde önem kazanacak sistemlerde önceden erişim kurma çabasıyla tutarlı buluyor.

Cisco Talos’un KeyDrift bulgusu

Cisco’nun tehdit istihbarat birimi Talos da aynı gün, UAT-11473 adını verdiği bir grubun CVE-2026-20127’yi kullanarak Cisco SD-WAN denetleyicilerine KeyDrift adlı özel bir zararlı yazılım yerleştirdiğini açıkladı. Talos’a göre KeyDrift’in bir bileşeni, denetleyicinin şifresi çözülmüş kontrol trafiğinden önceden belirlenmiş uç cihazlara ait şifreleme anahtarı bilgilerini çıkarıyor ve şifreli olarak saklayıp dışarı göndermeye hazırlıyor. Grubun hedefleri arasında uzay ve uydu hizmetleri, savunma ve havacılık teknolojisi ile politika araştırma kurumları var.

Talos, UAT-11473’ün altyapısının Silent Train ile büyük ölçüde örtüştüğünü yüksek güvenle değerlendiriyor. The Hacker News’e göre Talos bu iki faaliyeti yalnızca altyapı örtüşmesi üzerinden ilişkilendiriyor ve iki grubun aynı olduğunu söylemiyor. Yine The Hacker News’e göre Talos saldırıları geçmişe ait olarak tanımlıyor, ancak ne zaman yapıldıklarını ve anahtarların gönderilip gönderilmediğini belirtmiyor. The Hacker News’e göre Lumen de Volt Typhoon’un CVE-2026-20127 istismarını KeyDrift ile ilişkilendirmiyor.

Önerilen önlemler

Black Lotus Labs kurumlara şunları öneriyor:

• Ağ ve uç nokta yönetim sistemlerine, SD-WAN orkestratörlerine ve diğer merkezi yönetim sistemlerine daha sıkı güvenlik denetimleri uygulayın, bu sistemlerin verdiği yetkileri ve güven ilişkilerini düzenli olarak gözden geçirin.
• İnternete açık sistemleri ve yönetim arayüzlerini en aza indirin. Yönetim arayüzlerine doğrudan erişimi VPN, erişim kuralları, ara sunucular ya da ayrı yönetim ağlarıyla sınırlayın.
• Merkezi yönetim sistemlerindeki açıkları öncelikle kapatın.
• Kayıtları merkezde toplayın ve saklama süresini uzatın.
• Olağandışı yönetici girişlerini, API kullanımını, uzaktan dosya aktarımlarını ve yapılandırma değişikliklerini izleyin.
• Volt Typhoon’a karşı CISA ve NCSC’nin yayımladığı önerileri uygulayın.