Volt Typhoon targeted enterprise control planes via ever-changing “Silent Train” relay network

El grupo de ci­ber­es­pio­na­je pa­tro­ci­na­do por el es­ta­do chino co­no­ci­do como Volt Typhoon ha es­ta­do em­plean­do una red de re­trans­mi­sión se­cre­ta y de ro­ta­ción cons­tan­te lla­ma­da "Si­lent Train". Esta in­fra­es­truc­tu­ra ocul­ta está com­pues­ta por ca­de­nas de dis­po­si­ti­vos de hogar y pe­que­ñas em­pre­sas, sis­te­mas del In­ter­net de las Cosas y equi­pos em­pre­sa­ria­les com­pro­me­ti­dos. A tra­vés de este sis­te­ma, los ata­can­tes han ex­plo­ta­do vul­ne­ra­bi­li­da­des de día cero en dis­tin­tas pla­ta­for­mas de ges­tión y redes para ac­ce­der di­rec­ta­men­te a las in­fra­es­truc­tu­ras de con­trol de las or­ga­ni­za­cio­nes sin ne­ce­si­dad de rea­li­zar mo­vi­mien­tos la­te­ra­les tra­di­cio­na­les ni dejar de­ma­sia­dos ras­tros fo­ren­ses.

El fun­cio­na­mien­to de esta red de re­trans­mi­sión des­ta­ca por su na­tu­ra­le­za tran­si­to­ria y re­sis­ten­te, di­fe­ren­cián­do­se de las bot­nets tra­di­cio­na­les al armar y des­ar­mar in­fra­es­truc­tu­ra rá­pi­da­men­te para pro­te­ger el ac­ce­so a los ob­je­ti­vos. Las se­sio­nes de co­ne­xión sue­len ori­gi­nar­se en ser­vi­do­res pri­va­dos vir­tua­les fuera de Es­ta­dos Uni­dos, atra­vie­san va­rios dis­po­si­ti­vos com­pro­me­ti­dos en el ex­tran­je­ro y salen a tra­vés de equi­pos si­tua­dos en te­rri­to­rio es­ta­dou­ni­den­se para eva­dir fil­tros geo­grá­fi­cos y de repu­tación de di­rec­cio­nes IP. Ade­más, in­ves­ti­ga­cio­nes adi­cio­na­les de Cisco Talos re­la­cio­na­ron la in­fra­es­truc­tu­ra su­per­pues­ta de otro grupo con la ex­plo­ta­ción de fa­llos es­pe­cí­fi­cos para ins­ta­lar pro­gra­mas ma­li­cio­sos per­so­na­li­za­dos que otor­gan ac­ce­so per­sis­ten­te y per­mi­ten ex­traer me­ta­da­tos.