Volt Typhoon、「Silent Train」フレームワークでゼロデイ攻撃を隠蔽

Volt Typhoon、「Silent Train」フレームワークでゼロデイ攻撃を隠蔽

BleepingComputer – October 28, 2026

中国関連のサイバースパイグループVolt Typhoonと関連付けられた秘匿アクセスネットワーク「Silent Train」について、Lumenの脅威リサーチ部門Black Lotus Labsが報告。このネットワークは、ゼロデイの悪用や戦略的アクセス取得などの目的で使用されていたという。

Volt Typhoonは中国の国家支援型グループとされており、Bronze Silhouette、Insidious Taurus、UNC3236、Vanguard Panda、Voltziteとも呼ばれる。遅くとも2021年から活動しており、主に米国の通信、エネルギー、運輸、上下水道システムなどの重要インフラネットワークを標的とすることで知られている。

かつてVolt Typhoonはボットネット「KV Botnet」を使用して悪意ある活動を隠蔽していたとされるが、2023年12月にBlack Lotus Labsと米政府機関がKV Botnetの妨害措置を実施。その後ボットネットの建て直しが図られるも、2024年1月に再度テイクダウンされていた。

Black Lotus Labsは、1回目の妨害措置の数週間前にあたる2023年11月頃に初めてSilent Train関連の一貫した活動を観測。その後2024年のテイクダウンを経て、Silent Train関連の活動が急増したとされる。

従来のようなボットネットやプロキシネットワーク、ORB（Operational Relay Box）ネットワークとは異なり、Silent Trainは急速にローテーションされる侵害済みデバイスから成るチェーンだとBlack Lotus Labsは説明。同チェーンを構成するSOHOデバイスやIoTデバイス、エンタープライズデバイスはオンデマンドで悪用され、注意深く選定されたターゲットへの活動に使われたのち、活動が終わると痕跡が消去されて常時更新されるという。

このアプローチにより、Volt Typhoonは検知、アトリビューション、および妨害されるリスクを低減しつつ、エクスプロイト活動および侵害後の活動を安全に実施することができていたとされる。米国内では、主要な軍事施設や通信インフラ、防衛関連企業、衛生通信事業者、そして重要な物流ネットワークが集中するハワイ、カリフォルニア、テキサスの各州がSilent Trainを用いた活動の重点地域となっていたという。

Silent Trainは何層にも及ぶマルチホップ型のフレームワークで、それぞれ特定の役割を果たす以下3通りのリンクを通じて悪意あるトラフィックを中継していた。

• VPSサーバー：一時的なステージングエリアとして機能。セッションは米国外にあるVPSインフラストラクチャから開始され、攻撃者は各セッションの終了後にこれらをプロビジョニングおよび破棄することができる。
• 侵害された米国外のSOHOおよびIoTデバイス：さまざまな国・プロバイダー・ハードウェアにおける侵害済みのデバイス群で、攻撃の開始点を隠蔽する役割を持つ。
• 米国内の侵害されたデバイス：米国内のターゲットへ到達する直前の出口ノードとして機能。ジオフェンシングやIPレピュテーションに基づくブロックリストの回避に役立てられる。

TP-LinkやIntelbras、Ruckus Wireless、SATO、NETGEAR、Zyxel、CambiumなどのSOHOやIoTデバイスから、FortinetやCisco、PRTG、Mirth Connect、CyberPanelなどのエンタープライズ向けプラットフォームに至るまで、悪用され、このSilent Trainネットワークに組み込まれたデバイスのカテゴリは27種類にも及ぶという。

攻撃者はこうしたデバイス上で公開されているWebインターフェースを悪用し、ここに、侵害済みノードを経由してSSHアクセスを連鎖させるために必要なツールのみを展開していたとされる。こうしたツールに含まれるのは、一時的なSSHサービスや鍵、設定ファイル、およびLotL（live off the land）ユーティリティなど。運用セッションが終了すると、全ての痕跡は削除され、運用チェーンが解体される仕組みになっていたとされる。Black Lotus Labsによれば、Silent Trainのセッション時間は平均およそ4時間で、中には数分しか続かないものもあったという。

しかし、2025年初頭までに、Silent Trainは完全に一時的な中継ネットワークから、各任務のたびにデバイスを交換するのではなく、エンタープライズグレードのデバイスを平均1～3か月間保持するハイブリッド型アーキテクチャへと進化したとみられている。

Volt TyphoonがSilent Trainを使って実施したゼロデイキャンペーンでは、以下の脆弱性が悪用されていたと説明されている。カッコ内は、悪用キャンペーンが行われたとされる時期。

• CVE-2026-16812：Arista VeloCloud OrchestratorにおけるOSコマンドインジェクション（2026年6月〜7月）
• CVE-2026-20127：Cisco Catalyst SD-WANにおける認証バイパス（2025年12月〜2026年2月）
• CVE-2025-8875およびCVE-2025-8876：N-able N-centralにおける安全でないデシリアライゼーションおよびコマンドインジェクション（2024年8月〜2025年7月）
• CVE-2024-39717：Versa Directorにおける危険なタイプのファイルの無制限アップロード（2024年6月〜8月）

加えて、Volt TyphoonはQuest KACEにおけるゼロデイとみられるものについても、2023年11月以降、当該脆弱性が2025年10月に修正される直前まで悪用していた疑いがある。同脆弱性を悪用するキャンペーンでは、30超の被害者に影響が及んだとされる。

Black Lotus Labsの研究者らは、集中管理システムのセキュリティ強化、管理インターフェースへのインターネットアクセス制限、脆弱性への迅速なパッチ適用のほか、ログの保存期間を延長した上で一元管理することを推奨。加えて、異常な管理活動の監視、顧客やパートナーのネットワークを危険にさらす可能性のある信頼済み接続の見直し、ならびにVolt Typhoonに関するCISAおよびNCSCのガイダンスに従うよう助言した。