گروه تهدید پیشرفته (APT) موسوم به Volt Typhoon، با بهره‌گیری از یک شبکه مخفی و زنجیره‌ای از دستگاه‌های آلوده به نام Silent Train، حملات مبتنی بر آسیب‌پذیری‌های زیرو دِی (Zero-Day) را علیه زیرساخت‌های حیاتی سازماندهی می‌کند. این گروه از زنجیره‌های رابط (Relay Chains) یک‌بار مصرف استفاده می‌کند تا فعالیت‌های خود را در میان ترافیک عادی شبکه پنهان کرده و فیلترهای امنیتی مبتنی بر اعتبار IP را دور بزند.
مکانیزم عملیاتی شبکه Silent Train
این شبکه از زنجیره‌ای شامل ۴ تا ۶ گره (Hop) تشکیل شده است. فرآیند حمله معمولاً با یک سرور اجاره‌ای آغاز شده، از طریق روترهای خانگی (SOHO)، تجهیزات IoT و دستگاه‌های کوچک اداری عبور کرده و در نهایت از طریق یک دستگاه آلوده در نزدیکی هدف (مانند تجهیزات Fortinet یا Cisco)، به سیستم مورد نظر دسترسی پیدا می‌کند. این استراتژی باعث می‌شود ترافیک مخرب، مشابه ترافیک محلی و عادی به نظر برسد و از شناسایی توسط سیستم‌های دفاعی جلوگیری شود.
آسیب‌پذیری‌های مورد سوءاستفاده
تحقیقات نشان می‌دهد که این گروه حداقل از چهار آسیب‌پذیری زیرو دِی تایید شده برای نفوذ استفاده کرده است:
- Versa Director
- N-able N-central (از طریق CVE-2025-8875 و CVE-2025-8876)
- Cisco Catalyst SD-WAN (با آسیب‌پذیری بسیار بحرانی CVSS 10.0)
- VeloCloud Orchestrator
علاوه بر این، احتمال استفاده از آسیب‌پذیری در Quest KACE نیز وجود دارد.
تکنیک‌ها و اهداف استراتژیک
عامل تهدید از ابزارهایی مانند Chisel و FRP برای ایجاد تونل‌های معکوس (Reverse Tunnels) استفاده کرده و برای کاهش ردپا، از Webshells در حافظه (In-memory) بهره می‌برد. اهداف اصلی این حملات شامل بخش‌های زیرساختی حیاتی نظیر انرژی، آب، حمل‌ونقل، مخابرات، سازمان‌های دفاعی و دانشگاه‌ها است. این گروه با دقت و انضباط بالا عمل کرده و پس از پایان هر نشست (Session)، تمامی آثار فعالیت خود را پاک می‌کند تا فرآیند جرم‌شناسی دیجیتال (Forensics) با دشواری مواجه شود.
توصیه‌های امنیتی
برای مقابله با این تهدید، کاهش سطح قرارگیری در معرض اینترنت (Internet Exposure)، تسریع در اعمال وصله‌های امنیتی (Patching) و تقویت کنترل‌های دسترسی در پلتفرم‌های مدیریتی که دسترسی گسترده به شبکه دارند، حیاتی است.
به‌روزرسانی (اکتبر 29, 2026 — Help Net Security)
به‌روزرسانی: تحقیقات جدید نشان می‌دهد که شبکه “Silent Train” که توسط گروه Volt Typhoon استفاده می‌شود، ماهیتی گذرا (Transient) دارد؛ به این معنا که زیرساخت‌های آن به سرعت تشکیل شده و پس از انجام عملیات، برای جلوگیری از شناسایی توسط تیم‌های دفاعی، از هم پاشیده می‌شوند.
این شبکه بسیار متنوع بوده و شامل بیش از ۲۷ کلاس مختلف از دستگاه‌ها است که طیف وسیعی از تجهیزات SOHO و IoT (مانند روترهای TP-Link و Netgear) تا سیستم‌های سازمانی (Enterprise) از جمله Fortinet، Cisco، Ivanti و F5 را در بر می‌گیرد. همچنین مشخص شده است که زیرساخت‌های عملیاتی این گروه با الگوهای فعالیت گروه UAT-11473 همپوشانی قابل توجهی دارد.
علاوه بر زنجیره‌سازی سنتی SSH، این عامل تهدید از روش‌های پیشرفته‌تری مانند تونل‌های معکوس (Reverse Tunnels) با استفاده از پروکسی‌های متن‌باز مانند Chisel و FRP نیز برای هدایت ترافیک استفاده می‌کند. هدف نهایی این تاکتیک‌ها، نفوذ به Control Planeهای مدیریتی و ایجاد دسترسی پایدار در زیرساخت‌های حیاتی بدون بر جای گذاشتن ردپای دیجیتال (Forensic Artifacts) قابل توجه است.
