Berichte in dieser Woche beschreiben eine verdeckte Infrastruktur namens Silent Train, die die mit China verbundene Gruppe Volt Typhoon angeblich genutzt hat, um Angriffe auf US-Behörden, Verteidigungsunternehmen und kritische Infrastruktur zu verschleiern. Das Volt-Typhoon-Silent-Train-Netzwerk ist weniger wegen der beteiligten Malware bemerkenswert als vielmehr wegen dessen, woraus es aufgebaut war: gewöhnliche kompromittierte Geräte, darunter die Art von Kleinbüro- und Heimroutern, an die viele Menschen nie einen Gedanken verschwenden.

Der Quellartikel ist kurz, daher trennt dieser Beitrag, was berichtet wird, von dem, was Leser tun können. Die praktische Lehre gilt unabhängig davon, ob man in der Nähe von Regierung oder Verteidigung arbeitet oder nicht.

Was Silent Train und Volt Typhoon tun

Den Berichten zufolge nutzte Volt Typhoon Silent Train als verdecktes Zugangsnetzwerk, um den Ursprung seiner Angriffe zu verbergen. Berichte unter Berufung auf Forschung von Lumens Black Lotus Labs besagen, dass das Netzwerk mit vier Zero-Day-Exploit-Kampagnen in Verbindung stand. Es beschreibt die Ziele als Netzwerkverwaltungsplattformen und andere Unternehmenssteuerungssysteme und besagt, dass der Datenverkehr über rotierende Ketten gehackter Kleinbüro- und Heimbüro-(SOHO-) sowie IoT-Geräte weitergeleitet wurde. Einige Zusammenfassungen beschreiben das Netzwerk als inzwischen gestört.

Ein Zero-Day ist eine Schwachstelle, von der der Hersteller noch nichts weiß, sodass kein Patch existiert, wenn Angreifer beginnen, sie auszunutzen. Zero-Days mit einem Relay-Netzwerk zu kombinieren, das sich ständig ändert, macht die Aktivität schwerer nachvollziehbar. Verteidiger, die eine verdächtige Verbindung sehen, stellen möglicherweise fest, dass sie von einem gewöhnlich aussehenden Gerät in einem Haushalt oder Kleinunternehmen stammt und nicht von offensichtlich feindlicher Infrastruktur.

Ein Kommentar eines Sicherheitsjournalisten zu der Geschichte merkte an, dass Beamte Volt Typhoon seit Langem als hochentwickelt und stealthy beschreiben, oft ohne viele technische Details zu veröffentlichen. Forschung wie diese beginnt, diese Lücke zu füllen.

Warum kompromittierte Router eine ideale Tarnung für staatliche Hacker sind

Router, Firewalls, Kameras und andere Edge-Geräte teilen mehrere Eigenschaften, die sie als Relay-Punkte attraktiv machen:

  • Sie sitzen an der Netzwerkgrenze. Datenverkehr, der sie durchläuft, sieht wie normale Internetaktivität aus.
  • Sie werden selten aktualisiert. Viele Besitzer installieren einen Router einmal und melden sich nie wieder an.
  • Sie erreichen oft das End-of-Life. Sobald ein Hersteller aufhört, Patches herauszugeben, bleiben bekannte Schwachstellen dauerhaft offen.
  • Ihnen fehlt Sicherheitsüberwachung. Die meisten Heim- und Kleinbüro-Geräte haben keinen Endpoint-Schutz, und Besitzer prüfen selten deren Protokolle.

Wenn ein Angreifer eine Kette solcher Geräte kontrolliert, kann eine Anfrage an ein Regierungsziel zuerst über mehrere private oder kleinunternehmerische IP-Adressen springen. Die Besitzer dieser Geräte bemerken möglicherweise nie etwas Falsches, und ihre Geräte werden Teil der Angriffsinfrastruktur von jemand anderem.

Dies passt zu einem breiteren Muster staatlich verbundener Gruppen, die ungepatchte Schwachstellen gegen hochwertige Ziele verketten. Ein Beispiel ist die chinesische UTA0565-Kampagne, die Chrome- und Windows-Zero-Days ausnutzte. Forschung zu chinesischen Gruppen, die das Angriffsvolumen mit DeepSeek-KI verdoppeln, deutet darauf hin, dass das Tempo dieser Aktivität weiter steigen könnte.

Wie man Heim- und Kleinbüro-Edge-Geräte absichert

Man kann eine staatliche Gruppe nicht daran hindern, eine Regierungsbehörde ins Visier zu nehmen, aber man kann vermeiden, zu einem ihrer Trittsteine zu werden. Realistische Schritte sind:

  1. Modell und Firmware-Version des Routers prüfen. Melden Sie sich an der Admin-Seite oder in der Hersteller-App an und suchen Sie nach verfügbaren Updates. Aktivieren Sie automatische Updates, falls sie angeboten werden.
  2. Herausfinden, ob das Gerät End-of-Life ist. Suchen Sie die Support-Seite des Herstellers auf. Wenn das Modell keine Sicherheitsupdates mehr erhält, planen Sie einen Ersatz. Keine Einstellung kann ungepatchte Firmware vollständig ausgleichen.
  3. Standard-Anmeldedaten ändern. Verwenden Sie ein einzigartiges, starkes Admin-Passwort und ändern Sie den Standard-Netzwerknamen und die Standard-Anmeldung, falls der Hersteller sie als Standard ausgeliefert hat.
  4. Remote-Administration deaktivieren. Sofern Sie sie nicht benötigen, deaktivieren Sie den Verwaltungszugriff aus dem Internet sowie Funktionen wie UPnP, wenn Sie sie nicht nutzen.
  5. Neustarten und überprüfen. Starten Sie Geräte regelmäßig neu und achten Sie auf unbekannte Einstellungen, unbekannte verbundene Geräte oder DNS-Änderungen, die Sie nicht vorgenommen haben.
  6. IoT-Geräte ersetzen oder isolieren. Stellen Sie Kameras und Smart-Geräte in ein Gastnetzwerk und mustern Sie alle aus, die keine Updates mehr erhalten.

Kleinunternehmen sollten außerdem ein Inventar aller Edge-Geräte führen, jemanden damit beauftragen, Herstellerhinweise zu verfolgen, und Firewalls und Verwaltungsplattformen als hochpriorisierte Patch-Ziele behandeln.

Wo ein VPN hilft und wo nicht

Ein VPN verschlüsselt den Datenverkehr zwischen Ihrem Gerät und dem VPN-Anbieter, was Sie in nicht vertrauenswürdigen Netzwerken wie öffentlichem WLAN schützt und Ihr Browsing vor Ihrem Internetanbieter verbirgt. Das sind echte Vorteile.

Ein VPN behebt keinen verwundbaren oder kompromittierten Router. Wenn Angreifer bereits das Gerät kontrollieren, das Sie mit dem Internet verbindet, wird ein VPN auf Ihrem Laptop sie nicht entfernen, und es wird sie nicht daran hindern, Ihren Router als Relay für den Datenverkehr anderer zu nutzen. Es patcht auch keine Firmware und ersetzt keine nicht mehr unterstützte Hardware. Betrachten Sie ein VPN als eine Schicht des Datenschutzes, nicht als Ersatz für die Wartung der Geräte an der Grenze Ihres Netzwerks.

Was das für Sie bedeutet

Für die meisten Leser ist die Silent-Train-Geschichte eine Erinnerung daran, dass der Router im Flur Teil des Sicherheitsbildes des Internets ist. Angreifer schätzen diese Geräte, weil sie unüberwacht und ungepatcht sind. Wenn Sie Ihren Router aktuell halten oder ihn außer Betrieb nehmen, wenn der Support endet, schützen Sie Ihr eigenes Netzwerk und verwehren staatlichen Hackern einen weiteren Relay-Punkt.

Prüfen Sie diese Woche Ihre Edge-Geräte

Nehmen Sie sich in den nächsten Tagen 20 Minuten Zeit, um die Lehre aus dem Volt-Typhoon-Silent-Train-Netzwerk in der Praxis umzusetzen: Prüfen Sie die Firmware Ihres Routers, bestätigen Sie, dass er noch unterstützt wird, ändern Sie Standardpasswörter und deaktivieren Sie die Remote-Verwaltung. Wenn Sie ein Kleinbüro verwalten, dehnen Sie diese Prüfung auf Firewalls, Kameras und alle anderen internetzugewandten Geräte aus.

Ein weiteres Beispiel dafür, wie Angreifer es auf Perimeter-Geräte absehen, finden Sie in dem Bericht darüber, wie eine VMware-ESX-Zero-Day- und PHP2Shell-Kette genutzt wurde, um Firewalls zu rooten.