تعطيل شبكة Silent Train السرية التابعة لـ Volt Typhoon بعد حملات استغلال ثغرات zero-day
نُسبت مجموعة التجسس السيبراني المرتبطة بالصين والمعروفة باسم Volt Typhoon إلى شبكة وصول خفية جرى تعطيلها تُدعى Silent Train، استُخدمت لاستغلال ثغرات zero-day والوصول الاستراتيجي.
وفقاً لتقرير صادر عن Lumen Technologies Black Lotus Labs، رُصدت Silent Train أول مرة في أواخر 2023، وهي تعتمد سلاسل متغيرة من بنى تحتية مخترقة تشمل أجهزة SOHO وإنترنت الأشياء (IoT) وأنظمة المؤسسات. وتستخدم الشبكة تقنيات مضادة للتحقيق الجنائي وعمليات مقسّمة وتنظيفاً بعد كل عملية لتقليل فرص الكشف ونسبة الهجمات إلى مصدرها.
تتمثل الوظيفة الأساسية لـ Silent Train في تسهيل مراحل الهجوم الحرجة مثل استغلال الثغرات والوصول إلى بيانات الاعتماد وتسريب البيانات، مع الحفاظ على وصول مستمر إلى بيئات الضحايا. وتبرز هذه النشاطات لسببين رئيسيين:
- تستهدف جهات قادرة على توفير وصول قابل للتوسع إلى عملاء تابعين أو شبكات حساسة أو برامج استراتيجية.
- تركز على منصات إدارة نقاط النهاية وأنظمة إدارة الشبكات ومنسّقات SD-WAN وتقنيات مستوى التحكم الحيوية لبيئات المؤسسات.
رُصدت مئات الضحايا في قطاعات متعددة، منها الاتصالات والحكومة ومتعاقدو الدفاع وخدمات الأقمار الاصطناعية والجامعات وشركات تقنية المعلومات والبنى التحتية الحيوية مثل المياه والطاقة والنقل وخدمات الطوارئ.
Volt Typhoon، المعروفة أيضاً بعدة أسماء مستعارة منها Bronze Silhouette وInsidious Taurus، مجموعة مدعومة من دولة ومرتبطة بالصين، وتُعرف باستهداف شبكات البنى التحتية الحيوية، خصوصاً في قطاعات الاتصالات والطاقة والنقل.
تنشط المجموعة منذ 2021 على الأقل، ورُصدت سابقاً وهي تستغل ثغرة رفع ملفات في Versa Director كـ zero-day (CVE-2024-39717) لنشر web shell يُدعى VersaMem، صُمم لجمع بيانات الاعتماد وتمكين الوصول إلى عملاء تابعين.
تشير النتائج الأخيرة من Black Lotus Labs إلى أن الثغرة الأمنية في Versa Director كانت واحدة من أربع حملات zero-day مؤكدة نُفذت عبر Silent Train. وتشمل الثغرات الثلاث الأخرى:
- CVE-2025-8875 وCVE-2025-8876 – ثغرتا إزالة تسلسل غير آمنة وحقن أوامر في N-able N-central.
- CVE-2026-20127 – ثغرة تجاوز مصادقة في Cisco Catalyst SD-WAN Controller.
- CVE-2026-16812 – ثغرة حقن أوامر في نظام التشغيل ضمن Arista VeloCloud Orchestrator.
إضافة إلى ذلك، يُشتبه في أن Volt Typhoon استغلت ثغرة zero-day محتملة في Quest KACE قبل إصلاحها في أكتوبر 2025، وأثّرت في أكثر من 30 ضحية.
وصفت Black Lotus Labs شبكة Silent Train بأنها شبكة مبنية حول سلاسل سريعة التغير من الأجهزة المخترقة، تُستغل عند الطلب وتُستخدم ضد أهداف مختارة بعناية وتُنظّف بعد كل عملية. وقد أتاح هذا النموذج لـ Volt Typhoon تنفيذ عمليات بأمان استثنائي مع تقليل مخاطر الكشف.
من الخصائص المميزة لهذه الهجمات الاستهداف المتكرر لأنظمة توفر رؤية وتحكماً واسعين عبر بيئات مؤسسية كبيرة ذات قيمة استراتيجية للولايات المتحدة.
ومن اللافت أن قدرة الوصول الخفية بدأت تتطور نحو نوفمبر 2023، قبل فترة وجيزة من أول عملية تعطيل استهدفت KV-botnet، وهي بوتنت إنترنت أشياء مرتبطة بعدة جهات فاعلة تهديدية مدعومة من دولة ومرتبطة بالصين، منها Volt Typhoon.
وبعد التعطيل الثاني لـ KV-botnet في أواخر يناير 2024، يُقال إن نشاط Silent Train التشغيلي تصاعد، وتحول إلى بنية تحتية مؤقتة تضم أنواعاً متنوعة من الأجهزة في مناطق جغرافية متعددة.
وبدلاً من الاعتماد على بنية تحتية دائمة، تبنّت Volt Typhoon نموذجاً يستخدم سلاسل أجهزة مخترقة تُستعمل مرة واحدة ويمكن إعادة بنائها عند الحاجة. وأتاح هذا النهج تجميع بنية تحتية عابرة وتفكيكها بسرعة، ما أنشأ إطاراً مرناً وآمناً.
تُوصف Silent Train بأنها «إطار متعدد القفزات وطبقي»، يتيح للمشغلين تمرير حركة مرور خبيثة عبر عدة أجهزة قبل الوصول إلى الأهداف، ما يحجب مصدرها. ويؤدي كل رابط في السلسلة غرضاً محدداً:
- تعمل VPS كمناطق تجهيز مؤقتة، تتيح للجهات الفاعلة توفيرها والتخلص منها بعد كل جلسة، انطلاقاً من بنية VPS خارج الولايات المتحدة.
- تخفي أجهزة SOHO وإنترنت الأشياء المخترقة غير الأمريكية نقطة انطلاق الهجوم.
- تعمل الأجهزة المخترقة داخل الولايات المتحدة كعقد خروج قبل الوصول إلى الضحايا المحليين، ما يساعد على تجاوز التقييد الجغرافي وقوائم حظر سمعة عناوين IP.
استُغلت 27 فئة من الأجهزة على الأقل، من أجهزة SOHO وإنترنت الأشياء إلى منصات المؤسسات. وأشارت Black Lotus Labs إلى أن Silent Train تتميز بانضباط تشغيلي، إذ تركز على جلسات قصيرة الأمد ذاتية الإدارة بدلاً من مرحّلات دائمة.
وبحلول أوائل 2025، يُعتقد أن Silent Train تطورت من شبكة مرحّلات مؤقتة بالكامل إلى بنية هجينة، تحتفظ بأجهزة بمستوى المؤسسات لمدة شهر إلى ثلاثة أشهر بدلاً من تغييرها بعد كل عملية.
وقد أدخل نضوج المنصة نسخاً من reverse tunnel تستخدم وكلاء مفتوحي المصدر لإرسال حركة المرور من الأجهزة المصابة إلى بنية تحتية أعلى في السلسلة.
داخل الولايات المتحدة، برزت ولايات مثل هاواي وكاليفورنيا وتكساس كمراكز لعمليات Silent Train، إذ تستضيف منشآت عسكرية كبرى وبنى تحتية للاتصالات وشبكات لوجستية حيوية.
وذكرت Black Lotus Labs أن نمط الضحايا يشير إلى جهود متعمدة للحفاظ على الوصول إلى منظومات حيوية تدعم الدفاع واللوجستيات والاتصالات، خصوصاً في فترات تصاعد التوترات في منطقة المحيطين الهندي والهادئ.
وتكشف الصورة الناتجة عن إطار عالي التنظيم صُمم لاكتساب وصول استراتيجي على نطاق واسع وحمايته واستدامته، مع سعي Volt Typhoon بشكل منهجي إلى الوصول إلى شبكات مهمة في الولايات المتحدة والحفاظ عليه.
المصدر: The Hacker News