Peneliti Black Lotus Labs dari Lumen Technologies menerbitkan laporan tentang Silent Train, jaringan akses tersembunyi yang dipakai Volt Typhoon, kelompok spionase siber yang dikaitkan dengan Tiongkok. Menurut The Hacker News pada 28 Oktober, jaringan ini menopang empat kampanye eksploitasi zero-day dan sudah menyasar ratusan korban di sektor telekomunikasi, pemerintahan, kontraktor pertahanan, satelit, universitas, perusahaan IT, serta infrastruktur kritis.
Cara kerja jaringan Silent Train
Lumen melacak Silent Train sejak sekitar November 2023. Jaringan itu berupa rantai perangkat yang sudah diretas, mulai dari modem dan router rumahan atau kantor kecil, perangkat IoT, sampai appliance kelas enterprise. Penyerang memakai server sewaan di luar Amerika Serikat sebagai tempat singgah sementara, lalu perangkat yang diretas di berbagai negara untuk menyamarkan asal serangan. Perangkat di Amerika Serikat dipakai sebagai titik keluar agar lalu lintas terlihat lokal dan lolos dari pemblokiran berbasis reputasi alamat IP.
Sejak awal 2025 arsitekturnya menjadi hibrida. Perangkat enterprise dipertahankan satu sampai tiga bulan, sementara varian terowongan balik memakai proksi sumber terbuka Chisel dan FRP. Lumen mencatat setidaknya 27 kelas perangkat yang dieksploitasi, termasuk produk TP-Link, NETGEAR, Zyxel, Fortinet, Cisco, dan PRTG.
Sasaran utamanya adalah platform manajemen terpusat dan control plane, seperti pengelola endpoint, pengelola jaringan, dan orkestrator SD-WAN. Fokus korban di Amerika Serikat ada di Hawaii, California, dan Texas.
Celah zero-day yang dikaitkan
Laporan menyebut CVE-2024-39717 pada Versa Director (web shell VersaMem), CVE-2025-8875 dan CVE-2025-8876 pada N-able N-central, CVE-2026-20127 pada Cisco Catalyst SD-WAN Controller berupa bypass autentikasi, dan CVE-2026-16812 pada Arista VeloCloud Orchestrator berupa injeksi perintah. Lumen juga menduga ada zero-day di Quest KACE yang sudah ditambal pada Oktober 2025, dengan perkiraan lebih dari 30 korban. Untuk kasus Quest KACE tidak ada nomor CVE dalam laporan. Sumber yang kami baca tidak merinci versi terdampak maupun versi perbaikan, jadi cek advisori masing-masing vendor.
Lumen menyebut Silent Train sudah diganggu secara diam-diam oleh timnya, tetapi eksploitasi pada produk Cisco dilaporkan terus berlanjut setelah pengungkapan Februari 2026. Artinya operasi ini belum sepenuhnya berhenti. Untuk konteks aktivitas kelompok lain yang berkaitan dengan Tiongkok, lihat laporan kami tentang CVE-2026-41709 di VMware ESX.
Langkah yang perlu diambil
Tim keamanan yang mengelola SD-WAN, manajemen endpoint, atau manajemen jaringan sebaiknya mengurangi paparan antarmuka administrasi ke internet dan membatasi aksesnya lewat VPN, jump host, atau jaringan manajemen khusus. Prioritaskan tambalan untuk platform manajemen yang menghadap internet, pusatkan log dengan masa simpan lebih panjang, dan pantau aktivitas admin yang tidak wajar. Lumen juga menyarankan perburuan ancaman untuk penyalahgunaan platform tepercaya, termasuk teknik living off the land. Pemilik router dan perangkat IoT lama yang tidak lagi menerima pembaruan perlu mempertimbangkan penggantian, karena perangkat seperti itulah bahan baku jaringan relay semacam ini. Indikator teknis lengkap tersedia di laporan Lumen.
Sumber: The Hacker News dan Lumen Black Lotus Labs. Gambar: Lumen Black Lotus Labs.