Volt Typhoonの中継網「Silent Train」―侵害機器を使い捨て、管理基盤へ侵入

LumenのBlack Lotus Labsは2026年10月28日、攻撃グループVolt Typhoonが使う中継網「Silent Train」の分析を公表しました。2023年末から追跡してきた活動で、28日に新たな攻撃が始まったという報告ではありません。

攻撃者は侵害したルーターやIoT機器、企業向け機器を多段につなぎ、接続元を隠します。初期の運用では一時的なSSH設定などを置き、平均約4時間の作業後に痕跡を消して中継網を解体していました。その後は、一部の企業向け機器を1〜3カ月使う構成も確認されています。

同社は、ネットワークや端末を一括管理する基盤を狙う、4件の確認済みゼロデイ攻撃キャンペーンを関連付けています。管理基盤自体が持つ権限や顧客環境への接続を悪用すれば、個々の端末を順に侵害する手間を省けます。別のQuest KACEへの攻撃は、ゼロデイ利用の可能性という評価にとどまります。

Lumenは管理画面のインターネット公開を減らし、管理基盤の修正と権限の見直しを優先するよう勧めています。侵害機器内のログも消され得るため、ログを外部へ集約し、通常と異なる管理操作や設定変更を追える状態にすることが対策の要点です。