Rede Silenciosa do Volt Typhoon Exposta
O grupo ligado à China Volt Typhoon usou uma infraestrutura secreta chamada Silent Train para explorar vulnerabilidades zero-day. Pesquisadores de segurança descobriram como o grupo manteve sigilo através de roteadores e dispositivos IoT comprometidos.
TL;DR
- O Volt Typhoon operou um canal oculto chamado Silent Train para ataques zero-day.
- A rede usou dispositivos SOHO, IoT e corporativos comprometidos como pontos de apoio.
- Descoberta em 2023, a campanha visava acesso estratégico às redes de forma silenciosa.
- O Black Lotus Labs da Lumen Technologies liderou a descoberta e análise.
- As organizações devem auditar a segurança dos dispositivos de rede e monitorar movimentações laterais.
Uma operação sofisticada de espionagem cibernética ligada à China, conhecida como Volt Typhoon, foi rastreada até uma infraestrutura tática oculta chamada Silent Train. Primeiramente identificada no final de 2023, essa rede permitiu ao grupo realizar explorações zero-day enquanto permanecia indetectável ao encadear roteadores pequenos de escritório/casa (SOHO), dispositivos da Internet das Coisas (IoT) e sistemas corporativos comprometidos.
De acordo com descobertas do Black Lotus Labs da Lumen Technologies, a Silent Train funcionava como uma série rotativa de pontos de acesso que permitiam aos atacantes manter uma entrada persistente e discreta em ambientes-alvo. Esse método ajudou o Volt Typhoon a evitar detecção durante a realização de reconhecimento estratégico e possível exfiltração de dados.
Táticas da Infraestrutura Silent Train
- A Silent Train utilizava dispositivos SOHO e IoT comprometidos como nós proxy para obscurecer o tráfego dos atacantes.
- A rede rotacionava dinamicamente os caminhos de acesso para burlar ferramentas tradicionais de monitoramento de rede.
- Dispositivos corporativos também foram cooptados para obter acesso mais profundo às redes internas.
- Cada nó na cadeia era cuidadosamente selecionado para minimizar a pegada digital e maximizar o tempo de permanência.
Recomendações Defensivas
- As organizações devem atualizar regularmente o firmware de todos os dispositivos conectados à rede, especialmente roteadores e terminais IoT.
- Segmentação de rede pode limitar movimentos laterais caso um dispositivo de borda seja comprometido.
- Implementar análises comportamentais para detectar padrões incomuns de tráfego interno indicativos de pivô baseado em proxy.
- Realizar auditorias periódicas em dispositivos voltados à internet para identificar acessos não autorizados ou configurações incorretas.
Fontes
Fontes
Atualizações de segurança por e-mail
Um e-mail resumo quando publicarmos novos artigos de segurança (TL;DR e links para ler mais). Cancele a inscrição a qualquer momento no rodapé da mensagem. Veja nossa Política de Privacidade.