Volt Typhoon три года вёл атаки через платформы управления сетями: четыре zero-day

Главная опасность этой многолетней кампании — выбор цели. Volt Typhoon атаковала не конечные устройства, а централизованные консоли, через которые администраторы управляют тысячами маршрутизаторов, точек доступа и межсетевых экранов. Получив контроль над такой платформой, злоумышленники автоматически получали ключи от всей подчинённой инфраструктуры.

Black Lotus Labs из Lumen Technologies три года наблюдали за инфраструктурой, которую назвали Silent Train. Она работала как цепочка временных прокси-узлов: маршрут начинался на арендованных серверах за пределами США, проходил через несколько взломанных домашних роутеров и IoT-устройств, а заканчивался внутри американской сети, где трафик выглядел легитимным. В одной цепи могло быть до шести переходов, а средний сеанс связи длился около четырёх часов. Отдельные маршруты операторы разворачивали менее чем за две минуты, а после завершения работы тщательно удаляли инструменты.

К началу 2025 года тактика изменилась. В сети Silent Train появились устойчивые узлы, базировавшиеся на корпоративных системах. Взломанные платформы управления эксплуатировались от одного до трёх месяцев. Активность концентрировалась в будние дни с 9 до 22 часов по китайскому времени, что, по мнению исследователей, указывает на ручное управление операциями, а не на автоматизированный скрипт.

Всего подтверждено четыре кампании с эксплуатацией zero-day уязвимостей. Под атаку попали Versa Director, N-able N-central, Cisco Catalyst SD-WAN и VeloCloud Orchestrator. Пятая кампания, направленная против Quest KACE, пока предполагается — доказательства ограничены. Среди идентифицированных уязвимостей — CVE-2024-39717, CVE-2025-8875, CVE-2025-8876, CVE-2026-20127 и CVE-2026-16812. Команда Black Lotus Labs направила сотни предупреждений жертвам, среди которых значатся оборонные подрядчики, поставщики спутниковой связи, предприятия энергетики, транспорта и водоснабжения. Наибольшее внимание атакующие уделили Калифорнии, Техасу и Гавайям.

Платформы управления как мишень в российской практике

Versa Director, Cisco Catalyst SD-WAN и VeloCloud — это продукты, хорошо знакомые российским сетевым инженерам. Решения класса SD-WAN и централизованные оркестраторы активно применяются в филиальных сетях банков, розничных компаний и операторов связи. Подобные платформы, будь то западные или отечественные, концентрируют критический риск: один скомпрометированный административный интерфейс открывает путь к десяткам, а иногда и сотням территориально распределённых узлов. Сама схема атаки Volt Typhoon — закрепление через взломанные IoT-устройства и легальные инструменты удалённого доступа, такие как Chisel и FRP, — не требует уникального вредоносного ПО и опасна именно своей незаметностью на фоне обычного административного трафика.

Как защититься от скрытой атаки через оркестратор

Первоочередная мера — изолировать административные интерфейсы управляющих платформ от интернета. Доступ к ним должен предоставляться только через выделенные каналы управления. Критически важно незамедлительно обновлять сами оркестраторы, особенно когда выходят патчи, закрывающие возможность удалённого выполнения кода. Журналы событий стоит хранить на внешнем, изолированном от самой системы сборе логов, чтобы их нельзя было подчистить после взлома. Оснований для тревоги достаточно при любых нехарактерных действиях учётных записей администраторов, аномальной передаче файлов или массовом изменении настроек — именно такие сигналы требуют немедленного расследования.