گزارش جدید Black Lotus Labs متعلق به شرکت Lumen، جزئیات تکان‌دهنده‌ای از تاکتیک حمله Silent Train منتشر کرده است که توسط عامل تهدید (Threat Actor) چینی موسوم به Volt Typhoon به کار گرفته می‌شود. این تحلیل نشان می‌دهد که این گروه در حال ایجاد دسترسی‌های پیش‌نیاز در سیستم‌های ارتباطاتی استراتژیک و زیرساخت‌های حیاتی است تا در زمان تنش‌های ژئوپلیتیک یا بحران‌ها، توانایی تخریب یا اختلال در این خدمات را داشته باشد.
مکانیزم عملکرد Silent Train
تاکتیک Silent Train بر پایه زنجیره‌هایی از دستگاه‌های SOHO، IoT و تجهیزات سازمانی است که به سرعت تغییر می‌کنند (Rapidly Rotating). این دستگاه‌های آلوده بر اساس نیاز اکسپلویت شده، برای هدف قرار دادن مقاصد خاص استفاده و پس از هر عملیات پاک‌سازی می‌شوند. این رویکرد به Volt Typhoon اجازه می‌دهد تا فعالیت‌های پس از اکسپلویت (Post-Exploitation) را با کمترین ریسک شناسایی، انتساب (Attribution) یا اختلال انجام دهد.
هدف‌ها و آسیب‌پذیری‌های مورد استفاده
این عامل تهدید از حداقل چهار آسیب‌پذیری زیرو دِی (Zero-Day) تایید شده و یک مورد احتمالی استفاده کرده است. اهداف اصلی این حملات عبارتند از:
- سیستم‌های مدیریت شبکه و Endpoint
- ارکستراتورهای SD-WAN
- زیرساخت‌های Control Plane که دسترسی مدیریتی به محیط‌های سازمانی و مشتریان را فراهم می‌کنند.
قربانیان این حملات شامل ارائه‌دهندگان خدمات مخابراتی، پیمانکاران دفاعی، خدمات ارتباطی ماهواره‌ای، دانشگاه‌ها و زیرساخت‌های حیاتی مانند آب، انرژی، حمل‌ونقل، ریلی، هوانوردی و خدمات اضطراری بوده‌اند.
استراتژی «دسترسی ذخیره شده»
تحلیلگران اشاره می‌کنند که هدف این حملات لزوماً سرقت داده یا تخریب فوری نیست، بلکه ایجاد یک زیربنای دسترسی برای حملات آتی است. در واقع، این گروه با تسخیر Control Plane زیرساخت‌های ارتباطی، به جای حمله به سیستم‌های تک‌به‌تک، ابزاری را در اختیار می‌گیرد که می‌تواند کل شبکه را مدیریت، متصل یا احراز هویت کند. این استراتژی به آن‌ها اجازه می‌دهد در زمان مناسب، خدمات را متوقف کرده یا دستکاری کنند.
چالش‌های شناسایی و توصیه‌های دفاعی
به دلیل ماهیت گذرا (Transient) زیرساخت‌های Silent Train، دفاع‌های مبتنی بر IP (مانند Blocklistها) عملاً بی‌اثر هستند، زیرا آدرس‌های رله در بازه‌های زمانی بسیار کوتاه تغییر می‌کنند. برای مقابله با این تهدید، توصیه‌های زیر ارائه شده است:
- حذف دسترسی مستقیم: تمامی کنسول‌های مدیریتی، ارکستراتورهای SD-WAN و پورتال‌های ادمین باید از اینترنت عمومی خارج شده و پشت VPN، Jump Host یا یک شبکه مدیریتی اختصاصی قرار گیرند.
- اولویت در وصله کردن: فناوری‌های Control Plane باید در اولویت اول Patching قرار گیرند.
- مانیتورینگ رفتاری: به جای تکیه بر IP، باید بر شناسایی رفتارهای غیرعادی در سرورهای مدیریتی با دسترسی بالا (Privileged Servers) تمرکز کرد.
- رصد تجهیزات Edge: بررسی ترافیک خروجی (Outbound) تجهیزات لبه شبکه برای شناسایی تونل‌های معکوس (Reverse Tunnels) ایجاد شده با ابزارهایی مانند Chisel یا FRP.
