INCIDENTE
Volt Typhoon ocultó ataques con zero-days en una red encubierta llamada Silent Train
Investigadores de Black Lotus Labs atribuyen al grupo vinculado a China una infraestructura de relevos desechables usada para explotar al menos cuatro vulnerabilidades desconocidas y mantener acceso a sistemas críticos.
Investigadores de Black Lotus Labs, la división de investigación de amenazas de Lumen, publicaron un informe en el que atribuyen a Volt Typhoon, un grupo de espionaje vinculado a China, una red encubierta de relevos que denominaron Silent Train. Según el análisis, esa infraestructura se usó para ocultar la explotación de fallas de software que los fabricantes todavía no conocían.
El seguimiento, que se extendió por tres años, permitió confirmar la explotación de al menos cuatro vulnerabilidades zero-day y una probable en plataformas de gestión centralizada y dispositivos de borde. Los investigadores sostienen que la red se empleó solo en etapas clave de los ataques: explotación de fallas, robo de credenciales y datos, y mantenimiento del acceso a los sistemas comprometidos.
Silent Train comenzó a tomar forma alrededor de noviembre de 2023, semanas antes de la primera interrupción del KV-botnet, una red de routers secuestrados que Volt Typhoon usaba antes. Tras esa disrupción, el grupo abandonó la infraestructura persistente y pasó a cadenas de dispositivos comprometidos de un solo uso que podía reconstruir cuando quisiera.
Los operadores dirigían su actividad a través de servidores privados virtuales fuera de Estados Unidos y luego la hacían pasar por equipos hackeados, como routers y appliances, que actuaban como relevos intermedios antes de llegar a las víctimas. Cada sesión apuntaba a entre una y cinco organizaciones, a menudo una sola, y se realizaba en horario laboral de China.
Cómo ocurrió
- Confirmado
- Volt TyphoonGrupo de espionaje vinculado a ChinaConfirmado.
- Silent TrainRelevos desechables de dispositivos comprometidosConfirmado.
- Zero-daysAl menos cuatro fallas desconocidas explotadasConfirmado.
- Robo de accesosCredenciales y datos exfiltradosConfirmado.
- Acceso persistenteMantenimiento de acceso a sistemas críticosConfirmado.
- VíctimasMás de 30 organizaciones afectadasConfirmado.
Reconstrucción de DUPIN Noticias según lo informado.
Qué se sabe
ACREDITADO
- Black Lotus Labs confirmó la explotación de al menos cuatro vulnerabilidades zero-day a través de Silent Train.
- Los investigadores identificaron más de 27 tipos de dispositivos usados en la red, entre ellos routers TP-Link y equipos Fortinet.
- El informe señala que la campaña afectó a más de 30 víctimas y disminuyó tras las actualizaciones de seguridad de Quest de octubre de 2025.
- La actividad era ejecutada por operadores humanos, principalmente de lunes a viernes en horario de China Standard Time.
SIN VERIFICAR O ABIERTO
- Se sospecha que Volt Typhoon explotó una probable vulnerabilidad zero-day en Quest KACE antes de su parche de octubre de 2025, con una evaluación de confianza moderada.
- Algunos dispositivos comprometidos no tenían vulnerabilidades conocidas, lo que sugiere el uso de exploits no documentados, según los investigadores.
- No está claro el alcance total de las víctimas ni los países afectados.
Contexto
Volt Typhoon es un grupo de espionaje vinculado a China conocido por atacar redes de infraestructura crítica, en particular comunicaciones, energía, transporte y sistemas de agua y aguas residuales, principalmente en Estados Unidos. Las autoridades estadounidenses advirtieron que busca establecer acceso para una posible disrupción en una crisis o conflicto futuro.
El grupo también se conoce con otros nombres, como Bronze Silhouette, Insidious Taurus, UNC3236, Vanguard Panda y Voltzite. Antes de Silent Train utilizaba el KV-botnet, una red de routers secuestrados que fue interrumpida en dos oportunidades.
Silent Train se describe como un marco por capas y de múltiples saltos, diseñado para que los operadores relayen tráfico malicioso por varios dispositivos antes de llegar al objetivo y así ocultar su origen tanto a las víctimas como a los defensores.
Qué hacer
- Revisar plataformas de gestión Auditar el acceso y la configuración de plataformas centralizadas de gestión de dispositivos y redes, que fueron el objetivo principal de la campaña.
- Monitorear actividad administrativa Vigilar inicios de sesión y cambios administrativos inusuales, especialmente fuera de horario o desde ubicaciones atípicas.
- Revisar conexiones de confianza Examinar los vínculos de confianza con clientes y socios que podrían exponer redes internas a través de proveedores.
- Aplicar parches oportunamente Mantener actualizados routers, appliances y equipos de borde, y seguir las guías de CISA y NCSC sobre Volt Typhoon.
- Rotar credenciales expuestas Cambiar contraseñas y claves que puedan haber quedado comprometidas y revisar los accesos persistentes en los sistemas.
CÓMO SE ELABORÓ Nota de la redacción de DUPIN Noticias, escrita con asistencia de inteligencia artificial a partir de información pública y revisada con reglas editoriales automáticas. Lo que no está verificado se marca como tal. ¿Encontraste un error? Pedí una corrección · Metodología.
