Volt Typhoon Dört Sıfır Günlü Açık Kampanyasında Gizli Sessiz Tren Ağını Kullandı.

Gorsel Kaynagi: The Hacker News

Volt Typhoon olarak bilinen Çin bağlantılı siber casusluk grubu, şimdi ortadan kaldırılan ve sıfır-gün açığı sömürüsü ile stratejik erişim için kullanılmış olan Silent Train adlı gizli erişim ağına atfedilmektedir.

“Son olarak 2023’ün sonunda tespit edilen Silent Train, dönen zincirler halinde ele geçirilmiş SOHO, IoT ve kurumsal altyapıyı kullanıyor” dedi Lumen Technologies Black Lotus Labs, The Hacker News ile paylaştığı bir raporda. “Algılanma ve iz sürmeyi en aza indirmek için anti-forensik teknikler, bölünmüş operasyonlar ve operasyon sonrası temizlik uyguluyor.”

Ana amacı, açıklanmamış; zayıf nokta sömürüsü, kimlik erişimi, veri sızdırma ve mağdur ortamlara erişimin sürdürülmesi gibi kritik saldırı aşamalarını kolaylaştırmaktır. Faaliyet, iki temel nedenle dikkat çekmektedir –

• Öncelikle, aşağıdaki müşterilere ölçeklenebilir erişim, hassas ağlar veya stratejik programlar sağlayabilecek varlıkları hedef aldı.
• Kurumsal ortamlarda kritik rol oynayan uç nokta yönetim platformlarını, ağ yönetim sistemlerini, SD-WAN orkestratörlerini ve kontrol düzlemi teknolojilerini hedef aldı.

Yüzlerce mağdur, telekomunikasyon sağlayıcıları, hükümet, savunma müteahhitleri, uydu ve kritik görev iletişim hizmetleri, üniversiteler, BT firmaları ve su, enerji, ulaşım, denizcilik, demiryolu, havacılık ve acil durum hizmetleri gibi kritik altyapı alanlarında tespit edildi.

Volt Typhoon (ayrıca Bronze Silhouette, Insidious Taurus, UNC3236, Vanguard Panda ve Voltzite olarak da bilinir), özellikle iletişim, enerji, ulaşım ve su ve atık su sistemleri sektörleri olmak üzere kritik altyapı ağlarını hedeflemesiyle bilinen, Çin bağlantılı devlet destekli bir gruba atfedilen takma adır.

En az 2021’den beri aktif olduğu bilinen tehdit aktörü, daha önce Versa Director’daki bir dosya yükleme açığını sıfır-gün açığı (CVE-2024-39717) olarak sömürerek, kimlikleri toplayan ve aşağıdaki müşterilere erişim sağlayan, kendine özel bir web kabuğu olan VersaMem’i dağıtmış olarak gözlemlenmişti.

Black Lotus Labs’in en son bulguları, güvenlik açığının tehdit aktörünün Silent Train üzerinden gerçekleştirdiği dört onaylı sıfır-gün kampanyasından birini oluşturduğunu gösteriyor. Geri kalan üç açık aşağıda listeleniyor –

• CVE-2025-8875 ve CVE-2025-8876 – N-able N-central’deki güvensiz veri geri yükleme ve komut enjeksiyonu açıklarını içeren bir dizi.
• CVE-2026-20127 – Cisco Catalyst SD-WAN Controller’daki kimlik doğrulama atlatma açığı.
• CVE-2026-16812 – Arista VeloCloud Orchestrator’daki işletim sistemi komut enjeksiyonu açığı.

Ayrı ayrı, Volt Typhoon’un da Quest KACE’deki yama yapılmadan önce (Ekim 2025) muhtemelen bir sıfır-gün açığını kullanmış olması şüpheleniliyor. Kampanyanın 30’dan fazla mağarayı etkilediği tahmin ediliyor.

Gorsel Kaynagi: The Hacker News

“Silent Train, talep üzerine exploite edilen, özenle seçilen hedeflere karşı kullanılan, her operasyondan sonra temizlenen ve sürekli olarak yenilenen hızla dönen SOHO, IoT ve kurumsal cihazların zincirleri etrafında inşa edilmiştir,” diyor Black Lotus Labs.

“Bu model, Volt Typhoon’un tespit, izleme ve aksatme fırsatlarını en aza indirerek olağanüstü operasyonel güvenlikle exploite ve post-exploite operasyonları gerçekleştirmesini sağladı.”

Bu saldırıların ayırt edici bir özelliği, ABD için stratejik öneme sahip büyük kurumsal ortamlarda geniş görünürlük, kontrol ve erişim kapısını açabilecek sistemlerin tekrar tekrar hedef alınmasıdır.

İlginç olan, gizli erişim yeteneğinin Kasım 2023 civarında, KV-botnet’i hedefleyen ilk kesinti operasyonundan birkaç hafta önce şekillenmeye başlamasıdır. KV-botnet, Volt Typhoon da dahil olmak üzere birden fazla Çin kökenli devlet destekli tehdit aktörüyle ilişkilendirilen bir IoT botnet’idir.

Silent Train’in operasyonel faaliyeti, botnet’in Ocak 2024’ün sonunda gerçekleşen ikinci kesintisinin ardından patlama göstermiş, aynı zamanda çeşitli cihaz tipleri ve coğrafyalar içeren kalıcı olmayan altyapıya kaymıştır.

“Sürekli altyapı kullanmaya devam etmek yerine, Volt Typhoon bir kez kullanılan, zararlı cihazlardan oluşan zincirleri ihtiyaç duyuldukça yeniden kurabileceği bir modele geçti,” diyor Black Lotus Labs. “Volt Typhoon geçici altyapıyı hızla kurup söküyor ve değerli erişimi koruyan, dayanıklı, güvenli ve bölümlere ayrılmış bir çerçeve oluşturuyor.”

“Katmanlı, çoklu atlama çerçevesi” olarak tanımlayan Silent Train, Volt Typhoon operatörlerinin zararlı trafiği hedeflere ulaşmadan önce birkaç cihaz üzerinden yönlendirmesini sağlayarak kökenlerini ne kurbanlar ne de savunucular açısından gizlemeyi amaçlıyor. Zincirdeki her bağlantı belirli bir işlev görüyor –

• Sanal özel sunucular (VPS) — geçici bir toplama alanı olarak çalışan ve tehdit aktörlerinin her oturum sonrasında bunları kurup kaldırabilmesini sağlayan; oturumlar ise ABD dışındaki VPS altyapısından başlıyor.
• Çeşitli ülkelerde, sağlayıcılarda ve donanımlarda yer alan zararlı hale getirilmiş ABD dışı SOHO ve IoT cihazları — saldırganın başlangıç noktasını gizliyor.
• ABD merkezli zararlı hale getirilmiş cihazlar — yerel kurban’a ulaşmadan önce çıkış düğümü olarak çalışıyor ve coğrafi sınırlama ile IP itibar kara listelerini atlatmaya yardımcı oluyor.

En az 27 cihaz sınıfı, SOHO ve IoT cihazlarından (örneğin TP-Link, Intelbras, Ruckus Wireless, SATO, NETGEAR, Zyxel ve Cambium) kurumsal platformlara (örneğin Fortinet, Cisco, PRTG, Mirth Connect ve CyberPanel) kadar, bu gizli ağa dahil olmak için sömürüldü.

“Silent Train, operasyonel disipliniyle öne çıkıyor; sürekli yönlendiriciler ya da C2 altyapısı yerine kısa ömürlü, kendi kendini yöneten oturumlara odaklanıyor,” diyor Black Lotus Labs. “Bu oturumları kurmak için operatörleri, SOHO, IoT ve diğer yönlendirici cihazlardaki açık web arayüzlerini sömürüyor, ardından zararlı hale getirilmiş düğüm üzerinden zincirli SSH erişimini sağlayacak yalnızca gerekli araçları devreye alıyor.”

“Bu kapsamda geçici SSH hizmetleri, anahtarlar, yapılandırma dosyaları ve ‘yerel araçları kullanma’ (live off the land) araçları yer aldı. Operasyonel oturumların sonunda, geride bıraktıkları her izi ortadan kaldırıp operasyonel zinciri parçaladılar. Silent Train oturumları ortalama yaklaşık dört saat sürdü; bazıları ise yalnızca birkaç dakika sürdü.”

Bir diğer dikkat çeken yön ise, belirli cihaz tiplerinin Silent Train içinde belirli konumlara atanmasıdır. Örneğin, Intelbras modemlerin yalnızca yönlendirme düğümleri olarak görüldüğü, Netgear Orbi ve Fortinet FortiGate cihazlarının ise kurbanla etkileşimden sorumlu ABD merkezli ara ve çıkış noktaları olarak işlev gördüğü tespit edildi.

Farklı bir ifadeyle altyapı, katmanlar arasında bilinçli bir bölme (compartmentalization) işaret ediyor; bazı cihaz tipleri, altyapının kendisi zamanla değiştirilerek iz takibini zorlaştıracak şekilde, değişmez roller sınırları içinde tutuluyor.

Platformun sonradan gelişmesi, enfekte olmuş cihazlardan yukarı altyapıya trafik yönlendirmek için Chisel ve FRP gibi açık kaynaklı vekil sunucuları (proxy) kuran ters tünel varyantlarını ortaya çıkardı.

ABD içinde Hawaii, California ve Texas, Silent Train operasyonlarının odak noktaları olarak öne çıktı; bu da şu anlama geliyor: Bu eyaletler büyük askeri tesisler, telekomünikasyon altyapısı, savunma yüklenicileri, uydu iletişim sağlayıcıları ve kritik lojistik ağları barındırıyor.

“Kurbanoloji, savunma, lojistik, iletişim, askeri ve sivil operasyonları destekleyen kritik ekosistemlere erişimi sürdürmeye yönelik bilinçli çabaları gösteriyor; özellikle Hint-Pasifik bölgesinde tansiyonun yükseldiği veya kriz dönemlerinde bu erişim özellikle önem taşıyor,” dedi Black Lotus Labs.

“Sonuç olarak ortaya çıkan tablo, stratejik erişimi büyük ölçekte edinmek, korumak ve sürdürmek için inşa edilmiş son derece yapılandırılmış bir çerçeveye işaret ediyor. Merkezi yönetim platformları ve kontrol düzlemi teknolojilerine yönelik tekrarlayan hedeflemelerle Silent Train, Volt Typhoon’un ABD’deki en önemli ağlardan bazılarına erişimi sistematik olarak nasıl takip edip koruduğunu gösteriyor.”