Çin hükümeti destekli siber saldırı grubu Volt Typhoon, yüksek değerli sistemlere yönelik sıfır gün saldırıları gerçekleştirmek için talep üzerine ele geçirilmiş bağlı cihazların döngüsel zincirlerine dayanan bir çerçeve kullanıyor. Bu çerçeveye "Silent Train" adı verilmiştir, çünkü tehdit aktörü belirli hedeflere saldırdıktan sonra izlerini temizlemekte ve sürekli olarak yenilemektedir.
Silent Train Çerçevesinin Özellikleri
Black Lotus Labs, iletişim şirketi Lumen'in tehdit araştırma bölümü, Silent Train çerçevesini üç yıldır takip ediyor ve Volt Typhoon'un en az dört sıfır gün güvenlik açığını kullandığını doğrulamıştır. Hedefler arasında telekomünikasyon firmaları, devlet kurumları, savunma müteahhitleri, eğitim kurumları, kritik altyapı sağlayıcıları ve acil hizmetler yer almaktadır.
Bu çerçevenin en çok hedef aldığı bölgelerin Kaliforniya, Teksas ve Hawaii olduğu gözlemlenmiştir. Bu durum, Volt Typhoon'un özellikle Hint-Pasifik meselelerine odaklandığını göstermektedir.
Saldırıların Yöntemi
Volt Typhoon daha önce ABD'nin kritik altyapısını hedef almış, iletişim, enerji, ulaşım ve su sistemleri gibi alanlarda saldırılar gerçekleştirmiştir. CISA, grubun gelecekteki bir kriz veya çatışma sırasında potansiyel kesinti sağlamak amacıyla erişim sağlamayı hedeflediğini belirtmektedir. Araştırmacılar, Silent Train çerçevesinin FBI'ın KV-Botnet'i etkisiz hale getirmesinin ardından devreye girdiğini ifade etmektedir.
Silent Train, Volt Typhoon'un saldırılarının kökenini gizlemek için kullandığı, ele geçirilmiş cihazlardan oluşan bir iletişim altyapısıdır. Operatörler, faaliyetlerini ABD dışındaki VPS altyapısı üzerinden yönlendirmekte ve ardından saldırılara geçmeden önce yönlendirici gibi ele geçirilmiş cihazlar aracılığıyla geçiş yapmaktadır.
Hedef Altyapılar ve Güvenlik Açıkları
Black Lotus Labs, Intelbras modemlerinin yurtdışı iletim noktası olarak kullanıldığını, Netgear Orbi cihazlarının ise ABD'deki geçiş noktaları olarak işlev gördüğünü belirtmektedir. Tehdit aktörleri, bu çerçeveyi kullanarak güvenlik açıklarını istismar etmekte, kimlik bilgilerini çalmakta ve ele geçirilmiş sistemlere sürekli uzaktan erişim sağlamaktadır.
Araştırmacılar, Silent Train faaliyetlerini izleyerek aşağıdaki ürünler için sıfır gün açıklarını gözlemlemiştir:
- CVE-2026-16812 – VeloCloudOrchestrator
- CVE-2026-20127 – Cisco Catalyst SD-WAN
- CVE-2025-8875 ve CVE-2025-8876 – N-able N-central
Bu platformların ele geçirilmesi, tehdit aktörlerine geniş yönetimsel kontrol sağlamakta ve müşteri ağlarına erişim imkanı sunmaktadır.
Güvenlik Önerileri
Araştırmacılar, merkezi yönetim sistemleri etrafındaki güvenliğin güçlendirilmesini, yönetim arayüzlerine internet erişiminin kısıtlanmasını, güvenlik açıklarının hızla kapatılmasını ve logların merkezi olarak uzun süreli saklanmasını önermektedir. Ayrıca, olağandışı yönetim faaliyetlerini izlemek ve güvenilir bağlantıları gözden geçirmek de önemlidir.
Sonuç olarak, saldırganlar geçerli kimlik bilgilerine sahip olduklarında, eylemlerinin yalnızca %37'sinin engellendiği belirlenmiştir. Önleyici tedbirlerin etkinliği, başlangıç erişiminden sonra önemli ölçüde düşmektedir.
Yorumlar 0
Yorum kurallarıHenüz yorum yok. İlk yorumu siz yapın.