資安威脅趨勢 - 中國駭客Volt Typhoon建立Silent Train隱蔽攻擊框架，攻擊美國關鍵基礎設施

-

中國駭客Volt Typhoon建立Silent Train隱蔽攻擊框架，攻擊美國關鍵基礎設施

一、摘要

        美國電信業者Lumen旗下威脅研究團隊Black Lotus Labs揭露，中國駭客組織Volt Typhoon自2023年開始使用名為Silent Train的隱蔽攻擊框架，透過遭入侵的SOHO路由器、IoT設備及企業網路設備，建立多層代理跳板以隱匿攻擊來源，並針對美國政府、電信、國防及能源、交通、供水等關鍵基礎設施發動攻擊。
　　研究人員追蹤3年期間，已通知數百個受害組織，並確認至少4起零時差漏洞攻擊，另有1起疑似零時差漏洞攻擊，主要鎖定網路管理、端點管理及SD-WAN控制平台。


二、存在風險

           研究人員指出，Volt Typhoon利用遭入侵設備建立多層流量轉送架構，攻擊流量通常經過境外VPS、海外SOHO及IoT設備，再透過美國境內遭入侵設備連線至目標。攻擊者在完成任務後，會拆除SSH連線、刪除金鑰及設定檔，藉此降低遭追查及偵測的機會。
　　此次攻擊已涉及多項網路及端點管理平台漏洞，包含Versa Director、N-able N-central、Cisco Catalyst SD-WAN及Arista VeloCloud Orchestrator。若企業管理平台遭入侵，攻擊者可能直接取得大量下游設備的管理權限，進一步竊取憑證、存取內部網路及關鍵基礎設施。建議企業優先修補相關漏洞，限制管理介面對外曝露，並監控異常SSH連線、反向通道及管理平台設定異動。

駭客攻擊技術分析：
1. 初始存取（Initial Access）：
     利用SOHO、IoT及企業網路設備對外曝露的管理介面，搭配零時差漏洞取得設備控制權，作為後續攻擊的代理跳板。

2.  建立攻擊跳板（Proxy Infrastructure）： 
     透過境外VPS建立連線，再依序串接不同國家的遭入侵設備，最後利用美國境內設備連線至目標組織，形成多層代理架構，以規避IP信譽檢查及來源追蹤。

3.  建立隱蔽通道（Command and Control）： 
     利用SSH Chaining建立多層連線，並搭配Chisel、FRP等工具建立反向通道，使攻擊流量能經由多個遭入侵設備轉送，降低直接連線至受害主機的風險。 

4. 漏洞利用及權限存取（Exploitation）： 
     鎖定Versa Director、N-able N-central、Cisco Catalyst SD-WAN及Arista VeloCloud Orchestrator等集中管理平台，利用零時差漏洞取得系統存取權限，藉由管理平台的高權限特性，進一步控制下游設備及客戶環境。 

5. 憑證竊取及資料存取（Credential Access）： 
     成功入侵後，利用記憶體內Webshell、憑證竊取及系統原生管理功能，取得帳號憑證與敏感資料，並利用遠端檔案傳輸功能進行後續資料存取及外傳。 

6. 清除攻擊痕跡（Defense Evasion）： 
     完成任務後，會拆除SSH連線、刪除暫存金鑰、設定檔及相關工具，並竄改或清除系統日誌。整個攻擊跳板通常僅維持數小時，部分企業級設備則可能持續遭利用數週至數月，以降低被偵測及追查的機會。


IoC：

1. 相關漏洞（CVE）：

  • CVE-2024-39717：Versa Director

  • CVE-2025-8875：N-able N-central

  • CVE-2025-8876：N-able N-central

  • CVE-2026-20127：Cisco Catalyst SD-WAN

  • CVE-2026-16812：Arista VeloCloud Orchestrator

2. 疑似零時差攻擊目標：

  • Quest KACE

3. 相關設備及平台：

  • TP-Link

  • Netgear Orbi

  • Intelbras

  • Ruckus

  • SATO

  • Zyxel

  • Cambium

  • Fortinet FortiGate

  • Cisco

  • PRTG

  • Mirth Connect

  • CyberPanel

4. 攻擊工具及技術特徵：

  • SSH多層代理跳板（SSH Chaining）

  • Chisel

  • FRP（Fast Reverse Proxy）

  • Reverse Tunneling（反向通道）

  • In-memory JAR Webshell

  • Credential Harvesting（憑證竊取）

  • Log Tampering（日誌竄改）

  • Remote File Transfer（遠端檔案傳輸）

5. 可疑網路連線特徵：

  • TCP/22：SSH

  • TCP/2222：SSH

  • TCP/8103：SSH

  • TCP/8999：Chisel反向通道

  • TCP/8443：HTTPS

  • TCP/14737：SSH

 情資報告連結：

這個網誌中的熱門文章

漏洞分享 - Fortinet 產品存在多個漏洞

-
圖片
                                                                                                                                                             Fortinet 產品存在多個漏洞 一、 摘要           Fortinet 產品存在多個漏洞，允許遠端攻擊者利用這些漏洞，於目標系統觸發遠端執行任意程式碼及繞過身份驗證。
閱讀完整內容
-->

案例分享-某企業AD上百組帳號大量登入失敗導致鎖定事件

-
圖片
  某企業 AD 上百組帳號大量登入失敗導致鎖定事件   一、案例故事 某企業客戶於某日下午發生 Exchange 遭受外部惡意主機大量進行暴力破解攻擊，導致企業內部環境 AD 伺服器短時間內被鎖定一百多筆帳號事件，而該企業也有在 Exchange 的 WebMail 上啟用雙因子認證，還是在短時間內遭受大量暴力破解攻擊，尋求雲智維科技團隊協助。  
閱讀完整內容
-->

漏洞分享 - Fortinet 產品存在多個漏洞

-
圖片
                                                                                                                                                                     Fortinet 產品存在多個漏洞 一、 摘要           Fortinet 產品存在多個漏洞，允許遠端攻擊者利用這些漏洞，於目標系統觸發跨網站指令碼、繞過身份驗證、敏感資料洩露、遠端執行任意程式碼及資料篡改。
閱讀完整內容
-->

漏洞分享 - 7-zip 存在安全性漏洞

-
圖片
                          7-zip 存在安全性漏洞 一、 摘要           7-Zip 壓縮工具存在 2 個非常嚴重的漏洞，分別為(CVE-2025-11001&CVE-2025-11002)，其允許攻擊者透過誘騙方式，令使用者開啟含惡意代碼的 ZIP 壓縮檔，攻擊者即可在使用者電腦上執行代碼並取得系統控制權。
閱讀完整內容
-->

漏洞分享 - Fortinet 產品存在多個漏洞

-
圖片
                                                                                                                                                                                                     Fortinet 產品存在多個漏洞 一、 摘要             Fortinet 產品存在多個漏洞，允許遠端攻擊者利用這些漏洞，於目標系統觸發敏感資料洩露、遠端執行任意程式碼及資料篡改 。
閱讀完整內容
-->

資安威脅趨勢 - 醫院遭CrazyHunter勒索軟體持續攻擊

-
圖片
OO醫院遭CrazyHunter勒索軟體持續攻擊 一、 摘要             2025年2月9日至11日， OO醫院、遭受CrazyHunter勒索軟體攻擊，導致超過600台電腦受影響，掛號系統中斷，影響病患就醫。駭客透過AD主機發動攻擊，利用弱密碼取得權限並進行大範圍加密勒索。 二 、存在風險            此次攻擊事件對ＯＯ醫院的急診室與掛號系統已受到影響，雖然醫療作業仍可運行，但若攻擊持續，可能導致更大範圍的醫療業務受影響，甚至影響病患的就醫權益。            雖然目前尚未發現病人個資外洩，但勒索軟體的攻擊特性通常涉及數據加密與竊取，醫療數據可能面臨被竊取、加密或公開的風險。            更值得關注的是，駭客已揚言將於2月11日傍晚進一步發動攻擊，顯示此次攻擊可能具有持續性，甚至擴大至其他醫療機構。 攻擊方式 ： 透過Active Directory（AD）主機發送惡意程式 弱密碼 漏洞 攻擊取得帳號權限 部署CrazyHunter勒索軟體進行檔案加密 IOC ： av-1m.exe  EE854E9F98D0DF34C34551819889336C16B9BFE76E391356CB17B55D59CF28CF av.exe 3B2081042038C870B1A52C5D5BE965B03B8DD1C2E6D1B56E5EBB7CF3C157138D bb.exe  2CC975FDB21F6DD20775AA52C7B3DB6866C50761E22338B08FFC7F7748B2ACAA crazyhunter.exe F72C03D37DB77E8C6959B293CE81D009BF1C85F7D3BDAA4F873D3241833C146B crazyhunter.sys 5316060745271723C9934047155DAE95A3920CB6343CA08C93531E1C235861BA CrazeHunter.zip D202B3E...
閱讀完整內容
-->

漏洞更新 - VMware修補vCenter Server heap-overflow和privilege escalation漏洞

-
圖片
                                                                                                                                                            VMware修補vCenter Server heap-overflow和privilege escalation漏洞 一、 摘要           VMware於本週二(6/18)修補了位於vCenter Server中的3個安全漏洞，其中的CVE-2024-37079與CVE-2024-37080屬於堆積溢位漏洞，可導致遠端程式攻擊，其CVSS風險評分高達9.8，另一個CVE-2024-37081則是本地端權限擴充漏洞，CVSS風險評分為7.8。
閱讀完整內容
-->

漏洞分享 - Fortinet 產品存在多個漏洞

-
圖片
                                                                                                                                                                                                                            Fortinet 產品存在多個漏洞 一、 摘要           Fortinet 產品存在多個漏洞，允許遠端攻擊者利用這些漏洞，於目標系統觸發遠端執行任意程式碼、洩露敏感資料、繞過身份驗證、篡改及權限提升。
閱讀完整內容
-->

漏洞分享 - Fortinet 產品存在多個漏洞

-
圖片
                                                                                                                                                                                                                                                                                             F...
閱讀完整內容
-->