El colectivo de ciberespionaje vinculado a China, conocido como Volt Typhoon, ha sido relacionado con una infraestructura oculta llamada Silent Train. El proyecto se detectó por primera vez a finales de 2023 y se basa en cadenas rotativas de dispositivos domésticos, IoT y recursos empresariales comprometidos.
Su objetivo principal es facilitar etapas críticas del ataque: explotación de vulnerabilidades, captura de credenciales, exfiltración de datos y mantenimiento de acceso continuo en entornos de víctimas. Los objetivos incluyen proveedores de telecomunicaciones, agencias gubernamentales, contratistas de defensa, servicios de satélite, universidades y sectores de infraestructura crítica como agua, energía, transporte y aviación.
Arquitectura efímera de Silent Train
Silent Train funciona como un marco multicapa que encadena varios nodos antes de llegar al objetivo. Primero, se utilizan servidores privados virtuales (VPS) fuera de EE. UU. Luego, el tráfico pasa por dispositivos SOHO y IoT no estadounidenses —por ejemplo, routers TP-Link, Intelbras, Netgear o dispositivos Ruckus Wireless— y, finalmente, por nodos comprometidos dentro de EE. UU que actúan como puntos de salida, como aparatos FortiGate o Orbi de Netgear. En total, se han identificado 27 clases de dispositivos.
Cada cadena se diseña para ser corta y autogestionada: la sesión típica dura alrededor de cuatro horas, con algunos casos que apenas duran minutos. Tras concluir la operación, los atacantes eliminan todas las huellas —claves SSH temporales, archivos de configuración y utilidades «live off the land»—, logrando una limpieza completa.
Campañas de vulnerabilidades cero
Black Lotus Labs confirmó que Silent Train ha sido utilizado para lanzar al menos cuatro vulnerabilidades cero. La primera, detectada en noviembre de 2023, explotó una falla de carga de archivos en Versa Director (CVE-2024-39717) y entregó un web-shell llamado VersaMem. Las otras incluyen dos vulnerabilidades en N-able N-central (CVE-2025-8875 y CVE-2025-8876), una vulnerabilidad de salto de autenticación en Cisco Catalyst SD-WAN Controller (CVE-2026-20127) y una inyección de comandos en Arista VeloCloud Orchestrator (CVE-2026-16812). Además, se sospecha que Volt Typhoon aprovechó una vulnerabilidad cero en Quest KACE, parcheada en octubre de 2025, afectando a más de 30 víctimas.
Evolución y focalización geográfica
La red Silent Train comenzó a configurarse alrededor de noviembre de 2023, apenas semanas antes de la primera interrupción del botnet KV-botnet a finales de enero de 2024. Tras esa interrupción, la actividad del marco se intensificó, adoptando un modelo de infraestructura de un solo uso que podía reconstruirse en menos de dos minutos. Según los investigadores, Volt Typhoon “ensambló y desmanteló rápidamente infraestructuras transitorias, creando un marco resiliente y compartimentado”.
Para principios de 2025, la arquitectura evolucionó a un modelo híbrido: algunos dispositivos empresariales permanecieron comprometidos entre uno y tres meses, y se incorporaron variantes de túneles inversos mediante proxies de código abierto como Chisel y FRP. La concentración de operaciones se ha detectado principalmente en California, Texas y Hawái, regiones que albergan instalaciones militares, redes de telecomunicaciones y proveedores de satélites.
El patrón de ataques muestra una “disciplina operativa” notable: se priorizan sistemas de gestión centralizada y tecnologías de plano de control, como orquestadores SD-WAN y plataformas de gestión de dispositivos, que otorgan visibilidad y control a gran escala sobre entornos críticos de EE. UU.
