In questo articolo Indice dei contenuti 2 sezioni
Il gruppo di hacker cinese Volt Typhoon, sostenuto dallo Stato, ha costruito un sistema per mascherare i propri attacchi zero day contro sistemi di alto valore. Si tratta di un framework battezzato Silent Train, basato su catene di dispositivi compromessi al momento del bisogno e poi abbandonati. Il nome descrive bene il funzionamento: lo strumento viene usato contro bersagli selezionati, ripulito dopo ogni operazione e rinnovato di continuo, così da lasciare il minor numero possibile di tracce.
A seguirne le mosse da tre anni sono i ricercatori di Black Lotus Labs, la divisione dedicata alle minacce informatiche della società di telecomunicazioni Lumen. Nel corso del monitoraggio hanno confermato che Volt Typhoon ha sfruttato almeno quattro vulnerabilità zero day in attacchi diretti alle infrastrutture di rete periferiche e ai sistemi di gestione. L’elenco delle vittime è lungo e piuttosto eterogeneo: operatori di telecomunicazioni, agenzie governative, aziende della difesa, istituti di istruzione, fornitori di servizi pubblici e infrastrutture critiche, operatori satellitari, società informatiche, fornitori di servizi gestiti, trasporti, aviazione e servizi di emergenza.
Una rete di dispositivi usa e getta
Le regioni più colpite risultano California, Texas e Hawaii, un dettaglio che secondo gli analisti suggerisce un interesse particolare per le questioni legate all’area Indo Pacifico. Non è la prima volta che il gruppo prende di mira gli Stati Uniti. In passato aveva già attaccato comunicazioni, energia, trasporti e reti idriche, tanto che l’agenzia americana CISA aveva avvertito che lo scopo era garantirsi un accesso utilizzabile per eventuali sabotaggi durante una crisi o un conflitto futuri. Stando ai ricercatori, la nascita di Silent Train sarebbe stata in parte spinta dallo smantellamento da parte dell’FBI di KV Botnet, la rete che Volt Typhoon impiegava per sfuggire ai controlli mentre colpiva le infrastrutture critiche statunitensi.
Nella pratica Silent Train è una vera e propria infrastruttura di rimbalzo composta da apparecchi violati, pensata per nascondere la vera origine delle offensive. Gli operatori fanno passare il traffico attraverso server virtuali situati fuori dagli Stati Uniti e poi lo instradano su dispositivi compromessi, come i router, che fanno da tappe intermedie prima dell’attacco vero e proprio. I modem Intelbras svolgevano il ruolo di ponti all’estero, mentre i dispositivi Netgear Orbi servivano come passaggi sul territorio americano. Attraverso questa rete il gruppo sfrutta falle di sicurezza, ruba credenziali, sottrae dati e mantiene un accesso remoto stabile ai sistemi infiltrati.
Le falle sfruttate e il lavoro di pulizia
Osservando l’attività del framework, gli esperti hanno individuato exploit zero day rivolti a diversi prodotti: VeloCloud Orchestrator, Cisco Catalyst SD WAN, la piattaforma N central di N able (con due vulnerabilità distinte), Versa Director e Quest KACE, per il quale però la natura di zero day è solo sospetta. Mettere le mani su piattaforme di questo tipo significa ottenere un ampio controllo amministrativo, rubare credenziali, accedere da remoto e raggiungere anche i clienti collegati senza quei movimenti laterali “rumorosi” che di solito fanno scattare gli allarmi.
Per costruire le sessioni, spiegano i ricercatori, gli operatori sfruttano le interfacce web esposte di router domestici e da piccolo ufficio, dispositivi connessi e altri apparecchi usati come relè. Su questi installano soltanto gli strumenti indispensabili per creare un accesso SSH a catena: servizi temporanei, chiavi, file di configurazione e utility già presenti nel sistema. Quando la sessione finisce, di solito in meno di 8 ore, tutto viene cancellato dai relè usa e getta. All’inizio del 2025 il sistema è diventato ibrido, affiancando ai nodi temporanei anche sistemi aziendali compromessi e mantenuti attivi per un periodo compreso tra uno e tre mesi.
Secondo Black Lotus Labs, Silent Train era riservato a bersagli di alto profilo e a operazioni condotte manualmente con grande cautela, seguendo l’orario standard della Cina. L’impiego di vulnerabilità sconosciute contro quegli obiettivi rafforza ulteriormente questa ipotesi. Tra le contromisure suggerite ci sono il rafforzamento della protezione dei sistemi di gestione centralizzati, la limitazione dell’accesso da internet alle interfacce amministrative, l’applicazione rapida delle patch e la raccolta centralizzata dei log con tempi di conservazione più lunghi. I ricercatori consigliano inoltre di tenere d’occhio attività amministrative insolite, di verificare le connessioni fidate che potrebbero esporre le reti di clienti e partner e di seguire le indicazioni pubblicate da CISA e NCSC su Volt Typhoon.
Fonte: TecnoAndroid