吳明宜中國政府支持的駭客組織 Volt Typhoon 利用名為 Silent Train 的框架，按需輪換遭入侵的連網裝置，隱藏攻擊活動，其中包括針對高價值系統的零時差漏洞攻擊。
通訊公司 Lumen 旗下的威脅研究團隊 Black Lotus Labs 追蹤 Silent Train 三年後，確認 Volt Typhoon 至少利用四個零時差漏洞，攻擊邊緣系統與管理基礎架構。
受攻擊對象包括電信業者、管理服務供應商 (MSP) 、政府機關、國防承包商、教育機構、公用事業、衛星服務供應商、 IT 公司、運輸、航太及緊急服務。研究人員觀察到，受攻擊最頻繁的地區包括美國加州、德州及夏威夷，顯示攻擊可能聚焦於印太事務。
利用受駭裝置隱藏攻擊來源
Black Lotus Labs 指出，美國聯邦調查局 (FBI) 先前取締 Volt Typhoon 用來規避偵測的 KV-Botnet 殭屍網路，可能是促使 Silent Train 部署的原因之一。
Silent Train 是一套由遭入侵裝置組成的中繼基礎架構。攻擊者先將活動導向美國境外的虛擬私人伺服器 (VPS)，再經由遭入侵的路由器等裝置中繼，藉此隱藏攻擊來源。研究人員指出，美國境內的中繼設備包括 Netgear Orbi 裝置，海外則使用 Intelbras 數據機。
攻擊者利用這套框架入侵系統、竊取憑證、外洩資料，並維持對受駭系統的長期遠端存取。研究人員觀察到涉及下列產品的零時差漏洞攻擊：
- CVE-2026-16812：VeloCloudOrchestrator
- CVE-2026-20127：Cisco Catalyst SD-WAN
- CVE-2025-8875 及 CVE-2025-8876：N-able N-central
- CVE-2024-39717：Versa Director
- Quest KACE：疑似零時差漏洞
攻擊結束後移除工具與設定
研究人員表示，攻擊者會利用小型辦公室及家用辦公室 (SOHO) 、物聯網 (IoT) 等中繼裝置暴露的網頁介面，部署建立串接式 SSH 存取所需的工具，包括暫時性 SSH 服務、金鑰、設定檔及系統既有工具。
每次連線通常在八小時內結束，攻擊者隨後會移除部署在一次性中繼裝置上的工具、金鑰與設定檔。到了 2025 年初，研究人員發現 Silent Train 轉為混合模式，同時使用一次性中繼裝置及受駭企業系統；後者通常保留一至三個月。
Black Lotus Labs 認為，Silent Train 主要用於針對高價值目標的謹慎操作，活動時間符合中國標準時間。研究人員建議企業強化集中管理系統的安全性、限制從網際網路存取管理介面、儘速修補漏洞，並集中保存日誌較長時間。此外，也應監控異常管理活動、檢視可能影響客戶或合作夥伴網路的可信任連線，並留意主管機關發布的 Volt Typhoon 指引。
（綜合外電報導）