I rapporti di questa settimana descrivono un'infrastruttura occulta chiamata Silent Train che il gruppo Volt Typhoon, legato alla Cina, avrebbe utilizzato per nascondere attacchi contro agenzie statunitensi, aziende della difesa e infrastrutture critiche. La rete Silent Train di Volt Typhoon è degna di nota meno per il malware coinvolto che per ciò con cui è stata costruita: normali dispositivi compromessi, inclusi quel tipo di router per piccoli uffici e abitazioni a cui molte persone non pensano mai.
L'articolo di origine è breve, quindi questo post separa ciò che è riportato da ciò che i lettori possono fare. La lezione pratica si applica indipendentemente dal fatto che lavoriate o meno vicino al governo o alla difesa.
Cosa stanno facendo Silent Train e Volt Typhoon
Secondo il reportage, Volt Typhoon ha utilizzato Silent Train come rete di accesso occulta per nascondere l'origine dei suoi attacchi. La copertura che cita le ricerche dei Black Lotus Labs di Lumen afferma che la rete era legata a quattro campagne di sfruttamento zero-day. Descrive i bersagli come piattaforme di gestione di rete e altri sistemi di controllo aziendali, e afferma che il traffico veniva inoltrato attraverso catene rotanti di dispositivi SOHO (small office and home office) e IoT violati. Alcuni riassunti descrivono la rete come ora neutralizzata.
Uno zero-day è una vulnerabilità che il fornitore non conosce ancora, quindi non esiste alcuna patch quando gli attaccanti iniziano a sfruttarla. Abbinare gli zero-day a una rete di relay che cambia continuamente rende l'attività più difficile da rintracciare. I difensori che vedono una connessione sospetta potrebbero scoprire che proviene da un dispositivo dall'aspetto ordinario in una casa o in una piccola impresa, non da un'infrastruttura apertamente ostile.
Il commento di un giornalista di sicurezza sulla vicenda ha osservato che i funzionari hanno a lungo descritto Volt Typhoon come sofisticato e furtivo, spesso senza pubblicare molti dettagli tecnici. Ricerche come questa iniziano a colmare tale lacuna.
Perché i router compromessi sono una copertura ideale per gli hacker statali
Router, firewall, telecamere e altri dispositivi perimetrali condividono diverse caratteristiche che li rendono attraenti come punti di relay:
- Si trovano al confine della rete. Il traffico che li attraversa sembra normale attività internet.
- Raramente vengono aggiornati. Molti proprietari installano un router una volta e non effettuano mai più l'accesso.
- Spesso raggiungono il fine vita. Una volta che un fornitore smette di emettere patch, le vulnerabilità note restano aperte in modo permanente.
- Mancano di monitoraggio della sicurezza. La maggior parte delle apparecchiature domestiche e per piccoli uffici non ha protezione endpoint, e i proprietari raramente controllano i suoi log.
Se un attaccante controlla una catena di tali dispositivi, una richiesta verso un obiettivo governativo può rimbalzare prima attraverso diversi indirizzi IP residenziali o di piccole imprese. I proprietari di quei dispositivi potrebbero non accorgersi mai di nulla di strano, e le loro apparecchiature diventano parte dell'infrastruttura di attacco di qualcun altro.
Questo rientra in un modello più ampio di gruppi legati a stati che concatenano vulnerabilità non corrette contro obiettivi di alto valore. Un esempio è la campagna UTA0565 cinese che ha sfruttato zero-day di Chrome e Windows. Le ricerche sui gruppi cinesi che raddoppiano il volume degli attacchi con l'AI DeepSeek suggeriscono che il ritmo di questa attività potrebbe continuare a crescere.
Come proteggere i dispositivi perimetrali domestici e per piccoli uffici
Non potete impedire a un gruppo a livello statale di prendere di mira un'agenzia governativa, ma potete evitare di diventare uno dei suoi trampolini di lancio. Le misure realistiche includono:
- Controllate il modello e la versione del firmware del router. Accedete alla pagina di amministrazione o all'app del fornitore e cercate gli aggiornamenti disponibili. Attivate gli aggiornamenti automatici se sono offerti.
- Scoprite se il vostro dispositivo è a fine vita. Consultate la pagina di supporto del fornitore. Se il modello non riceve più aggiornamenti di sicurezza, pianificate la sua sostituzione. Nessuna impostazione può compensare completamente un firmware non aggiornato.
- Cambiate le credenziali predefinite. Utilizzate una password di amministrazione unica e robusta, e cambiate il nome di rete predefinito e le credenziali di accesso se il fornitore le ha fornite come predefinite.
- Disattivate l'amministrazione remota. A meno che non ne abbiate bisogno, disabilitate l'accesso di gestione da internet, insieme a funzionalità come UPnP se non le utilizzate.
- Riavviate e controllate. Riavviate periodicamente i dispositivi e cercate impostazioni non familiari, dispositivi connessi sconosciuti o modifiche DNS che non avete effettuato.
- Sostituite o isolate le apparecchiature IoT. Mettete telecamere e dispositivi smart su una rete guest, e dismettete quelli che non ricevono più aggiornamenti.
Le piccole imprese dovrebbero anche mantenere un inventario di ogni dispositivo perimetrale, assegnare a qualcuno il compito di monitorare gli avvisi dei fornitori e trattare firewall e piattaforme di gestione come obiettivi di patching ad alta priorità.
Dove una VPN aiuta e dove no
Una VPN cifra il traffico tra il vostro dispositivo e il fornitore della VPN, il che vi protegge su reti non affidabili come il Wi-Fi pubblico e nasconde la vostra navigazione al vostro provider internet. Questi sono vantaggi reali.
Una VPN non risolve un router vulnerabile o compromesso. Se gli attaccanti controllano già il dispositivo che vi connette a internet, una VPN sul vostro laptop non li rimuoverà, e non impedirà loro di usare il vostro router come relay per il traffico di altre persone. Non applicherà nemmeno patch al firmware né sostituirà hardware non supportato. Considerate una VPN come uno strato di protezione della privacy, non un sostituto della manutenzione delle apparecchiature al confine della vostra rete.
Cosa significa per voi
Per la maggior parte dei lettori, la storia di Silent Train è un promemoria che il router nel corridoio fa parte del quadro di sicurezza di internet. Gli attaccanti apprezzano questi dispositivi perché non sono monitorati né aggiornati. Mantenere il vostro aggiornato, o dismetterlo quando il supporto termina, protegge la vostra rete e nega agli hacker statali un ulteriore punto di relay.
Fate un audit dei vostri dispositivi perimetrali questa settimana
Ritagliatevi 20 minuti nei prossimi giorni per rivedere in pratica la lezione della rete Silent Train di Volt Typhoon: controllate il firmware del vostro router, confermate che sia ancora supportato, cambiate le password predefinite e disattivate la gestione remota. Se gestite un piccolo ufficio, estendete questa revisione a firewall, telecamere e qualsiasi altra apparecchiatura esposta a internet.
Per un altro esempio di attaccanti che prendono di mira i dispositivi perimetrali, leggete come una catena zero-day VMware ESX e PHP2Shell è stata usata per compromettere i firewall.
