Volt Typhoon、管理基盤に4件のゼロデイ…使い捨て中継網「Silent Train」とは？

　ルーメン（Lumen）の脅威調査部門ブラック・ロータス・ラボは10月28日、中国の国家支援型とされる攻撃グループ「Volt Typhoon」が使っていた運用基盤「Silent Train」の調査結果を公表した。

　同グループが、侵害した機器を次々に入れ替える中継網で身元と痕跡を隠しながら、未知の脆弱性（ゼロデイ）を突いていた実態を明らかにした。

　ブラック・ロータス・ラボは、Silent Trainを2023年11月ごろの確認から約3年にわたって追跡してきたという。

　この間に、重要分野の被害組織へ数百件の通知を行い、その後の調査を通じて、ゼロデイの悪用を突き止めた。確定が4件、可能性が高いものが1件としている。

　いずれも、多数の機器をまとめて管理する製品だ。確定した4製品は、Versa Director、N-able N-central、シスコのCatalyst SD-WAN、VeloCloud Orchestrator。可能性が高いとされるのはQuest KACEで、30を超える組織に影響したという。

　脆弱性番号が示されたものは、N-centralが「CVE-2025-8875」と「CVE-2025-8876」、Catalyst SD-WANが「CVE-2026-20127」（CVSS 10.0）、VeloCloud Orchestratorが「CVE-2026-16812」。Catalyst SD-WANでは、シスコが2026年2月に脆弱性を公表した後も悪用が続いたという。

　中継網は、ルータやIoT機器などを数珠つなぎにして使う仕組みだ。27種類以上の機器が使われ、機器を連ねる作業は2分足らずで終わる。接続の平均は約4時間で、終われば痕跡を消して解体していたという。

　被害を受けたのは、通信事業者、政府機関、防衛関連企業、衛星や緊急時の通信サービス、MSP（マネージドサービスプロバイダー）、IT企業、水道やエネルギー、運輸などの重要インフラ。ハワイ、カリフォルニア、テキサスが特に多かったという。

　同社は、緊張が高まる局面に備えて足がかりを確保する動きと整合すると説明している。

　対策としては、管理基盤のインターネット公開の最小化、パッチ適用の優先、ログの集約と保存期間の延長、管理者権限の不審な利用の監視を挙げている。