中國駭客Volt Typhoon綁架連網設備打造攻擊框架Silent Train，用於攻擊美國關鍵基礎設施

中國駭客組織Volt Typhoon的活動3年前首度浮上檯面，當時這些駭客綁架多個廠商的網路設備建立殭屍網路KV Botnet，藉此隱匿地攻擊美國關鍵基礎設施。然而，在殭屍網路遭到執法單位圍剿後，這些駭客建置更為隱密、複雜，且動態的攻擊基礎設施，持續從事相關活動。

電信公司Lumen旗下的威脅研究團隊Black Lotus Labs近日揭露，Volt Typhoon自2023年開始使用一種秘密的攻擊框架Silent Train，時間點最早就是在KV Botnet首度被摧毀之前。這些駭客利用該框架掩蓋攻擊來源，並維持對受害組織的存取能力，3年內已有數百個美國企業組織受害，涵蓋政府機關、電信公司、國防承包商、衛星通訊服務、資訊科技公司、大學及能源、交通、供水等關鍵基礎設施。Lumens提到，攻擊活動在夏威夷、加州及德州較為集中，代表駭客特別聚焦於通訊、物流、國防的生態系統。值得留意的是，Silent Train已被用於至少4次零時差漏洞的攻擊活動，目標涵蓋網路管理系統、端點管理平臺，以及SD-WAN控制系統。

Silent Train不同於其他中國駭客建置的殭屍網路、代理伺服器網路，以及Operational Relay Box（ORB）網路，攻擊者會根據任務需求，臨時組合遭入侵的設備，建立多層流量轉送路徑。攻擊流量通常先經過美國境外的虛擬私人伺服器（VPS），再透過其他國家的SOHO路由器、物聯網裝置，最後經由美國境內的遭入侵設備連線至受害組織。被Silent Train綁架的裝置種類超過27種，涵蓋SOHO設備與物聯網裝置，以及企業級的網路設備和伺服器。部分攻擊行動Volt Typhoon還會在完成任務後拆除整條代理鏈，並刪除暫存的SSH服務、金鑰、設定檔及其他操作痕跡，以降低被追查及歸因的風險。這些連線通常持續數小時，部分甚至能在數分鐘內完成。

其中引起研究人員注意的部分，在於這些駭客曾多次發動零時差漏洞攻擊，已確認被利用的漏洞包括：Versa Director漏洞CVE-2024-39717、N-able N-central漏洞CVE-2025-8875與CVE-2025-8876、思科Catalyst SD-WAN漏洞CVE-2026-20127，以及Arista VeloCloud Orchestrator（VCO）漏洞CVE-2026-16812。此外，這些駭客也疑似曾對端點裝置管理平臺Quest KACE從事零時差漏洞攻擊。