חוקרי Black Lotus Labs של Lumen חושפים רשת גישה סמויה בשם Silent Train, שבה השתמשה הקבוצה הסינית Volt Typhoon כדי להסתיר את מקור התקיפות שלה. לפי המחקר הרשת שובשה, אבל השיטה והמכשירים שנוצלו בה רלוונטיים לכל ארגון שמחזיק ציוד קצה ופלטפורמות ניהול חשופות.
הפרטים
הרשת פעלה כשרשרת ממסרים: שרת וירטואלי מחוץ לארה״ב, אחריו מכשירי SOHO ו-IoT שנפרצו, ולבסוף מכשירים בארה״ב ששימשו כנקודות יציאה. הקבוצה החליפה מכשירים אחרי כל פעולה, הסתמכה על כלים קיימים במערכת ומחקה ממצאים בסיום. לפי המחקר נוצלו יותר מ-27 סוגי מכשירים, בהם TP-Link, NETGEAR, Zyxel, Fortinet ו-Cisco.
דרך הרשת זוהו ארבעה קמפייני zero-day, כולם בפלטפורמות ניהול מרכזיות: CVE-2024-39717 ב-Versa Director, CVE-2025-8875 ו-CVE-2025-8876 ב-N-able N-central, CVE-2026-20127 ב-Cisco Catalyst SD-WAN Controller ו-CVE-2026-16812 ב-Arista VeloCloud Orchestrator. עוד נחשד zero-day ב-Quest KACE. היעדים כוללים מאות קורבנות בתקשורת, ממשל, ביטחון ותשתיות קריטיות. תאריך השיבוש המדויק לא פורסם במקורות שבדקתי.
נקודות לשים לב
- בדוק אם פלטפורמות הניהול שלך (SD-WAN, ניהול נקודות קצה ורשת) חשופות לאינטרנט, והגבל אותן לגישה פנימית או ל-VPN.
- ודא שהתקנת את התיקונים לפגיעויות שלמעלה, כל אחת במוצר שלה.
- החלף או עדכן נתבי SOHO ומכשירי IoT שאינם נתמכים; הם משמשים כצמתי ממסר בלי ידיעת הבעלים.
- חפש חיבורי SSH חריגים ומנהרות הפוכות (כלים כמו Chisel ו-FRP הוזכרו במחקר) במכשירי קצה.
מקורות: Lumen Black Lotus Labs · The Hacker News
₿ אהבת את הפוסט?
אפשר לשלוח לי ביטקוין ישירות לכתובת שלי. סרקו את הקוד, או העתיקו את הכתובת:
bc1qsn043qmlv4ejxydeknkfm9u6e93e6tegmq9x85
שימו לב: העברה on-chain כרוכה בעמלת רשת שאינה תלויה בסכום, ולכן סכומים קטנים מאוד אינם כדאיים.
