Black Lotus Labs-ը հայտնել է, որ Silent Train-ի եռամյա ուսումնասիրությունը հաստատել է ցանցային և կառավարման համակարգերի առնվազն չորս նախկինում անհայտ խոցելիության շահագործումը, որոնց շահագործումը հարձակվողներին կարող է տալ կառավարման համակարգերի նկատմամբ վարչարարական լայն վերահսկողություն և ճանապարհ բացել դեպի հաճախորդների համակարգեր։
Հեռահաղորդակցության Lumen ընկերության սպառնալիքների հետազոտման ստորաբաժանումը՝ Black Lotus Labs-ը, հայտնել է, որ Silent Train-ի եռամյա ուսումնասիրությունը հաստատել է Volt Typhoon-ի կողմից ցանցի եզրային և կառավարման համակարգերում առնվազն չորս զրոյական օրվա՝ նախկինում անհայտ անվտանգության խոցելիության շահագործումը։ Հետազոտողները նաև հայտնաբերել են հարյուրավոր զոհերի և առնվազն 27 տեսակի սարքեր, որոնք խոցվել են խմբի գրոհները թաքցնելու համար։
BleepingComputer-ի հոկտեմբերի 28-ի հրապարակումը Volt Typhoon-ը ներկայացնում է որպես Չինաստանի պետության աջակցությունը վայելող խումբ։ Այն նախկինում թիրախավորել է ԱՄՆ-ի կապի, էներգետիկայի, տրանսպորտի և ջրամատակարարման համակարգերը։ ԱՄՆ-ի Կիբերանվտանգության և ենթակառուցվածքների անվտանգության գործակալությունը զգուշացրել է, որ խումբը ձգտում է այնպիսի հասանելիության, որը կարող է թույլ տալ ապագա ճգնաժամի կամ հակամարտության ընթացքում խափանումներ առաջացնել։ Չինաստանի կառավարությունը նախկինում հերքել է իր ներգրավվածությունը և Volt Typhoon-ը բնութագրել որպես ԱՄՆ-ի ապատեղեկատվական արշավ։
Black Lotus Labs-ի բացահայտումները, որոնք տրամադրվել են The Hacker News-ին, վկայում են հարյուրավոր զոհերի մասին՝ հեռահաղորդակցության ոլորտում, պետական կառույցներում, պաշտպանական ոլորտի կապալառուների, արբանյակային և կենսական նշանակության կապի ծառայությունների, համալսարանների, տեղեկատվական տեխնոլոգիաների և կենսական ենթակառուցվածքների ոլորտներում։ Այդ ենթակառուցվածքները ներառում են ջրամատակարարման, էներգետիկայի, տրանսպորտի, ծովային ծառայությունների, երկաթուղու, ավիացիայի և արտակարգ ծառայությունների ոլորտները։ Հրապարակման մեջ նշվում է, որ Silent Train-ի աշխատանքը խափանվել է։
Հետազոտողների խոսքով՝ շահագործվել և միջանկյալ սարքերի ցանցում ներգրավվել է առնվազն 27 տեսակի սարք՝ փոքր և տնային գրասենյակների սարքավորումներից ու ինտերնետին միացված սարքերից մինչև կազմակերպությունների հարթակներ։ Սարքերը գրոհների ցանցային երթևեկությունը փոխանցել են մի քանի միջանկյալ կետով՝ զոհերի և պաշտպանությամբ զբաղվողների համար դժվարացնելով դրա ծագման հայտնաբերումը։
W27-ը պահպանել է Galaxy Z Fold 8 Ultra-ի հիմնական սարքավորումները։ Այն հասանելի է մուգ կարմիր կամ մուգ կապույտ գույներով, ոսկեգույն շեշտադրումներով և երկու տարբերակում էլ ունի 16 ԳԲ օպերատիվ հիշողություն։
2 րոպե
Թիրախների թվում էին նաև այլ սարքեր ու ցանցեր կառավարող համակարգեր։ Black Lotus Labs-ի խոսքով՝ կենտրոնացված այդ հարթակների նկատմամբ վերահսկողություն հաստատելը հարձակվողներին վարչարարական լայն լիազորություններ է տալիս։ Դա թույլ է տալիս գողանալ մուտքի տվյալները, ցանցերից արտապատճենել տվյալներ և պահպանել երկարատև հեռավար հասանելիություն։ Այն կարող է նաև ճանապարհ բացել դեպի հաճախորդների ցանցեր՝ առանց համակարգիչների միջև աչքի ընկնող տեղաշարժի, որը կարող էր անվտանգության ահազանգեր առաջացնել։ Թիրախների թվում էին կառավարվող ծառայությունների մատակարարները՝ հաճախորդների համար համակարգեր կառավարող ձեռնարկությունները։
Black Lotus Labs-ը հայտնաբերել է Silent Train-ի միջոցով զրոյական օրվա խոցելիությունների շահագործման չորս հաստատված արշավ։ Դրանցից մեկը ներառել է N-able N-central-ի երկու խոցելիություն, իսկ Quest KACE-ի հետ կապված առանձին ենթադրյալ արշավը հաստատվածների թվում չէ։
| Հարթակ | Խոցելիություն | Բացահայտում |
|---|---|---|
| Cisco Catalyst SD-WAN Controller | CVE-2026-20127 | Զրոյական օրվա խոցելիության շահագործման հաստատված արշավ |
| Arista VeloCloud Orchestrator | CVE-2026-16812 | Զրոյական օրվա խոցելիության շահագործման հաստատված արշավ |
| N-able N-central | CVE-2025-8875 և CVE-2025-8876 | Զրոյական օրվա խոցելիության շահագործման հաստատված արշավ |
| Versa Director | CVE-2024-39717 | Զրոյական օրվա խոցելիության շահագործման հաստատված արշավ |
| Quest KACE | Ենթադրյալ զրոյական օրվա խոցելիություն | Ենթադրյալ շահագործում, հաստատված չէ |
Quest KACE-ի խոցելիության ենթադրյալ շահագործումը տեղի է ունեցել մինչև 2025-ի հոկտեմբերին դրա շտկումը։ Գնահատվում է, որ այդ արշավն ազդել է ավելի քան 30 զոհի վրա։ Versa Director-ի հետ կապված հաստատված արշավում հարձակվողներն օգտագործել են ֆայլերի վերբեռնման խոցելիությունը՝ տեղադրելու վեբ շել, որը նախատեսված էր մուտքի տվյալներ հավաքելու և հետագա օղակի հաճախորդներին հասանելիություն ստանալու համար։
Black Lotus Labs-ն ամենաշատ թիրախավորումները դիտարկել է Կալիֆոռնիայում, Տեխասում և Հավայան կղզիներում, ինչը, նրա գնահատմամբ, հուշում է հնդխաղաղօվկիանոսյան տարածաշրջանի նկատմամբ հետաքրքրության մասին։ Հետազոտողները նաև կարծում են, որ Silent Train-ը նախատեսված էր հատկապես կարևոր թիրախների և Չինաստանի ստանդարտ ժամով իրականացվող զգուշավոր, հարձակվողների անմիջական մասնակցությամբ գործողությունների համար։ Նրանց գնահատմամբ՝ զրոյական օրվա խոցելիությունների կիրառումն ամրապնդում է այդ ենթադրությունը։
Silent Train-ի սեանսները սկսվել են ԱՄՆ-ից դուրս վարձակալված վիրտուալ սերվերներից։ Այնուհետև ցանցային երթևեկությունն անցել է երկրից դուրս գտնվող խոցված սարքերով, ապա հասել ԱՄՆ-ում խոցված սարքերի, որոնք ծառայել են որպես երկրի ներսում գտնվող զոհերին հասնելու վերջին միջանկյալ օղակ։ Black Lotus Labs-ի խոսքով՝ ԱՄՆ-ում գտնվող այդ ելքի կետերն օգնել են հարձակվողներին շրջանցել գտնվելու վայրի և կասկածելի ինտերնետային հասցեների ցանկերի վրա հիմնված սահմանափակումները։
Միանգամյա օգտագործման միջանկյալ սարքերով կապի սեանսները սովորաբար տևել են ութ ժամից պակաս։ Հետազոտողների բացահայտումների համաձայն՝ միջին տևողությունը մոտ չորս ժամ է եղել, իսկ որոշ սեանսներ տևել են ընդամենը րոպեներ։ Սեանսից հետո հարձակվողները հեռացրել են իրենց գործիքները, մուտքի բանալիներն ու կազմաձևման ֆայլերը և ապամոնտաժել շղթան։
2025-ի սկզբին Black Lotus Labs-ը դիտարկել է խառը մոդել․ միանգամյա օգտագործման միջանկյալ սարքերի կողքին գործում էին նաև խոցված կազմակերպությունների համակարգեր, որոնք պահպանվում էին մեկից երեք ամիս։ Յուրաքանչյուր գործողությունից հետո բոլոր սարքերը փոխարինելու փոխարեն խումբը կազմակերպությունների որոշ համակարգերի նկատմամբ հասանելիությունը պահպանել է տարբեր գործողությունների ընթացքում՝ շարունակելով փոխարինել ժամանակավոր միջանկյալ սարքերը։
Այս համակարգը սկսել է ձևավորվել մոտավորապես 2023-ի նոյեմբերին։ 2023-ի դեկտեմբերին ԱՄՆ-ի Հետաքննությունների դաշնային բյուրոն դատարանի թույլտվությամբ գործողության ընթացքում խափանել է KV-Botnet-ի աշխատանքը, ինչի մասին հայտարարվել է 2024-ի հունվարին։ Բոտնետն օգտագործել է ԱՄՆ-ում խոցված հարյուրավոր երթուղիչներ՝ Volt Typhoon-ի հաքերային գործունեությունը թաքցնելու համար։ Black Lotus Labs-ի գնահատմամբ՝ այդ խափանումը մասամբ նպաստել է Silent Train-ի գործարկմանը։ Ստորաբաժանման խոսքով՝ դրա ակտիվությունը կտրուկ աճել է 2024-ի հունվարի վերջին երկրորդ խափանումից հետո։
Cisco-ի անվտանգության ծանուցումը, որն առաջին անգամ հրապարակվել է փետրվարի 25-ին և թարմացվել հունիսի 16-ին, նշում է, որ CVE-2026-20127-ը կարող է հեռավար հարձակվողին թույլ տալ շրջանցել նույնականացումը և ստանալ վարչարարական արտոնություններ։ Controller-ի դեպքում այդ հասանելիությունը կարող է թույլ տալ փոխել ցանցի կազմաձևումը։ Cisco-ն հայտնել է, որ տեղյակ է խոցելիության շահագործման սահմանափակ դեպքերի մասին։
Խոցելիությունն առկա է Catalyst SD-WAN Controller-ում, Manager-ում և Validator-ում՝ անկախ կազմաձևումից, ինչպես տեղային, այնպես էլ Cisco-ի ամպային տեղակայումներում, ներառյալ Cisco-ի կողմից կառավարվող և FedRAMP միջավայրերը։ Cisco-ն թողարկել է թարմացումներ և հայտնել, որ խոցելիությունը վերացնող շրջանցիկ լուծում չկա։
Arista-ի VeloCloud-ի անվտանգության ծանուցումը, որը հրապարակվել է հուլիսի 27-ին և թարմացվել օգոստոսի 10-ին, նշում է, որ CVE-2026-16812-ը ակտիվորեն շահագործվում է։ Վեբ միջերեսին ցանցային հասանելիություն ունեցող հարձակվողին ներքին արտոնյալ գործառույթներին հասնելու համար հաճախորդի կամ օպերատորի մուտքի տվյալներ պետք չեն․ դա կարող է վտանգել Orchestrator-ը և նրա կառավարած տվյալները։ Խոցելի են ինչպես տեղային, այնպես էլ հոսթինգով ապահովված Orchestrator-ի տեղակայումները․ աջակցությունից դուրս եկած ծրագրային տարբերակները չեն գնահատվել։
| Արտադրանք և թողարկումների ճյուղ | Մատակարարի ցուցումը |
|---|---|
| Cisco Catalyst SD-WAN 20.9 | Շտկում պարունակող առաջին թողարկումը՝ 20.9.8.2 |
| Cisco Catalyst SD-WAN 20.15 | Շտկում պարունակող առաջին թողարկումը՝ 20.15.4.2 |
| Cisco Catalyst SD-WAN 20.18 | Շտկում պարունակող առաջին թողարկումը՝ 20.18.2.1 |
| VeloCloud Orchestrator 5.2 | Մինչև 5.2.3.14 տարբերակները խոցելի են․ 5.2.3.14-ը և այս ճյուղի ավելի ուշ տարբերակները պարունակում են շտկումը։ |
| VeloCloud Orchestrator 6.1 | Մինչև 6.1.3.4 տարբերակները խոցելի են․ 6.1.3.4-ը և այս ճյուղի ավելի ուշ տարբերակները պարունակում են շտկումը։ |
| VeloCloud Orchestrator 6.4 | Մինչև 6.4.2.4 տարբերակները խոցելի են․ 6.4.2.4-ը և այս ճյուղի ավելի ուշ տարբերակները պարունակում են շտկումը։ |
| VeloCloud Orchestrator 7.0 | Arista-ն մինչև 7.0.0.1 տարբերակները ներառել է խոցելի տարբերակների ցանկում։ |
Black Lotus Labs-ը խորհուրդ է տալիս սահմանափակել վարչարարական միջերեսների հասանելիությունն ինտերնետից, անհապաղ տեղադրել շտկումները և անվտանգության մատյանները կենտրոնացված ու ավելի երկար պահել։ Օպերատորները պետք է հետևեն վարչարարների անսովոր գործողություններին և վերանայեն վստահելի կապերը, որոնց միջոցով կարող են խոցելի դառնալ հաճախորդների կամ գործընկերների ցանցերը։
Cisco-ի համակարգ ներթափանցման կասկածի դեպքում մատակարարը խորհուրդ է տալիս ստուգել նույնականացման մատյանները և ձեռքով պարզել, թե կառավարման բաղադրիչների միջև կապերը համապատասխանում են արդյոք թույլատրված գործողություններին։ Հնարավոր ներթափանցումը գնահատելու հարցում օգնություն ստանալու համար հաճախորդները պետք է դիմեն Cisco-ի տեխնիկական աջակցության կենտրոն։
Arista-ն խորհուրդ է տալիս հնարավորության դեպքում շտկման աշխատանքներից առաջ պահպանել համապատասխան մատյանները։ Քանի որ Orchestrator-ի խոցումը կարող է վտանգել նաև դրա կառավարած սարքերը, միջադեպին արձագանքը կարող է ներառել մուտքի տվյալների փոփոխություն, վարչարարների գործողությունների վերանայում, կառավարվող սարքերի կազմաձևումների ստուգում և խոցված Orchestrator-ների վերականգնում կամ փոխարինում՝ վստահելի աղբյուրների միջոցով։
Արբանյակային օպերատորը 2027–2034 թվականների ներդրման դիմաց ակնկալում է օգտվել OneWeb-ի ներկայիս թողունակությունից ավելի քան կրկնակի հզորությունից։ IRIS²-ի առաջին ծառայությունները սպասվում են 2030 թվականից։
3 րոպե
Սև, ոսկեգույն և կանաչ տարբերակի նախնական պատվերները սպառվել էին սեպտեմբերին։ Թողարկման օրը Nintendo-ի համալրած պաշարները նույնպես արագ սպառվել են։
1 րոպե
