本周的多篇报道描述了一个名为“沉默列车”（Silent Train）的隐蔽基础设施，据称与中国有关联的“伏特台风”（Volt Typhoon）组织利用该基础设施来掩盖对美国机构、国防企业和关键基础设施的攻击。Volt Typhoon“沉默列车”网络之所以引人注目，与其说是因为所涉及的恶意软件，不如说是因为它的构建材料：普通的被入侵设备，包括许多人从不留意的小型办公室和家庭路由器。

源文章篇幅简短，因此本文将对报道内容与读者可采取的行动加以区分。无论你是否在政府或国防相关领域工作，这一实用教训都适用。

“沉默列车”与“伏特台风”在做什么

据报道，“伏特台风”利用“沉默列车”作为隐蔽访问网络，以隐藏其攻击来源。援引Lumen旗下Black Lotus Labs研究的报道称，该网络与四个零日漏洞利用行动有关。报道将目标描述为网络管理平台及其他企业控制系统，并称流量通过不断轮换的被入侵小型办公室和家庭办公室（SOHO）及物联网设备链进行中继。部分摘要称该网络现已被瓦解。

零日漏洞是供应商尚不知晓的缺陷，因此当攻击者开始利用时并无补丁可用。将零日漏洞与不断变化的中继网络配合使用，使活动更难被追踪。防御者看到可疑连接时，可能会发现它来自家庭或小企业中一台看似普通的设备，而非明显具有敌意的基础设施。

一位安全记者对该报道的评论指出，官员们长期以来一直将“伏特台风”描述为老练且隐蔽，但往往不公布多少技术细节。此类研究开始填补这一空白。

为什么被入侵的路由器成为国家黑客的理想掩护

路由器、防火墙、摄像头及其他边缘设备具有几个共同特征，使其成为有吸引力的中继点：

  • 它们位于网络边界。 经过它们的流量看起来像正常的互联网活动。
  • 它们很少被更新。 许多用户安装路由器后便再也不登录。
  • 它们往往已停止支持。 一旦供应商停止发布补丁，已知漏洞便永久暴露。
  • 它们缺乏安全监控。 大多数家庭和小型办公室设备没有终端防护，用户也很少检查其日志。

如果攻击者控制了一连串此类设备，发往政府目标的请求可以先经过多个住宅或小型企业的IP地址中转。这些设备的所有者可能永远不会察觉任何异常，而他们的设备却成了他人攻击基础设施的一部分。

这与国家关联组织利用未修补漏洞链攻击高价值目标的更广泛模式相符。一个例子是利用Chrome和Windows零日漏洞的中国UTA0565行动。关于中国组织利用DeepSeek AI将攻击量翻倍的研究表明，此类活动的节奏可能持续加快。

如何保护家庭和小型办公室边缘设备

你无法阻止国家级组织针对政府机构，但可以避免成为其跳板。切实可行的步骤包括：

  1. 检查路由器的型号和固件版本。 登录管理页面或供应商应用，查看可用更新。如有自动更新功能，请开启。
  2. 确认设备是否已停止支持。 查阅供应商的支持页面。如果该型号不再接收安全更新，请计划更换。任何设置都无法完全弥补未修补的固件。
  3. 更改默认凭据。 使用唯一且强的管理员密码，如果供应商出厂时使用默认网络名称和登录信息，请予以更改。
  4. 关闭远程管理。 除非确有需要，否则禁用来自互联网的管理访问，以及不使用的UPnP等功能。
  5. 重启并检查。 定期重启设备，留意不熟悉的设置、未知的连接设备或你未做过的DNS更改。
  6. 更换或隔离物联网设备。 将摄像头和智能设备放在访客网络上，并淘汰不再获得更新的设备。

小型企业还应维护每台边缘设备的清单，指定人员跟踪供应商公告，并将防火墙和管理平台列为高优先级补丁目标。

VPN在哪些方面有帮助，在哪些方面没有

VPN加密你的设备与VPN提供商之间的流量，这在公共Wi-Fi等不可信网络上保护你，并对你的互联网服务提供商隐藏你的浏览活动。这些是实实在在的好处。

VPN不能修复脆弱或被入侵的路由器。如果攻击者已经控制了连接你与互联网的设备，你笔记本电脑上的VPN无法将其清除，也无法阻止他们利用你的路由器作为他人流量的中继。它也不能修补固件或替换不受支持的硬件。请将VPN视为一层隐私保护，而非维护网络边缘设备的替代品。

这对你意味着什么

对大多数读者而言，“沉默列车”事件提醒人们，走廊里的路由器是互联网安全图景的一部分。攻击者看重这些设备，因为它们无人监控且未打补丁。保持设备更新，或在支持结束时将其淘汰，既能保护你自己的网络，也能让国家黑客少一个中继点。

本周审计你的边缘设备

在接下来几天里留出20分钟，将Volt Typhoon“沉默列车”网络的教训付诸实践：检查路由器的固件，确认它仍受支持，更改默认密码，并禁用远程管理。如果你管理一个小型办公室，请将该审查扩展到防火墙、摄像头及任何其他面向互联网的设备。

关于攻击者针对边界设备的另一个例子，请阅读VMware ESX零日漏洞与PHP2Shell攻击链如何被用于攻陷防火墙。