สรุปสั้น
Volt Typhoon เป็นกลุ่มจารกรรมไซเบอร์ที่รัฐจีนหนุนหลัง เคลื่อนไหวมาตั้งแต่อย่างน้อยปี 2564 และมีชื่อเสียงจากการแฝงตัวในเครือข่ายโครงสร้างพื้นฐานสำคัญของสหรัฐฯ ทั้งการสื่อสาร พลังงาน คมนาคม และระบบน้ำ ล่าสุดทีม Black Lotus Labs ของบริษัท Lumen Technologies เปิดโปงเครือข่ายแฝงที่ตั้งชื่อว่า Silent Train ซึ่งกลุ่มนี้ใช้มาตั้งแต่ปลายปี 2566 และขณะนี้ถูกรื้อไปแล้ว Silent Train ร้อยเราเตอร์บ้านและสำนักงานขนาดเล็ก (SOHO) อุปกรณ์ IoT และอุปกรณ์ระดับองค์กรที่ถูกเจาะ เป็นสายส่งต่อทราฟฟิกหลายทอดที่ประกอบขึ้นใหม่ทุกครั้งที่ใช้งาน แล้วลบร่องรอยทิ้งหลังจบแต่ละเซสชัน
Black Lotus Labs ยืนยันว่า Volt Typhoon ใช้ Silent Train ใน 4 แคมเปญที่ใช้ช่องโหว่ zero-day คือ ช่องโหว่ที่ยังไม่มีแพตช์ ได้แก่ Versa Director, N-able N-central, Cisco Catalyst SD-WAN Controller และ Arista VeloCloud Orchestrator และน่าจะใช้ zero-day ใน Quest KACE อีก 1 แคมเปญ จุดร่วม คือ ทุกเป้าเป็นแพลตฟอร์มบริหารจัดการที่คุมอุปกรณ์หรือลูกค้าปลายน้ำจำนวนมาก การเจาะได้ 1 จุดจึงเปิดทางไปยังเครือข่ายอื่นอีกมาก เหยื่อหลายร้อยรายอยู่ในโทรคมนาคม หน่วยงานรัฐ ผู้รับเหมากลาโหม ดาวเทียม มหาวิทยาลัย และโครงสร้างพื้นฐานสำคัญ ผู้ดูแลระบบควรเร่งปิดหน้าจัดการของระบบเหล่านี้จากอินเทอร์เน็ตและตรวจว่าแพตช์ครบแล้ว
รายละเอียดข่าว
เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 27 ตุลาคม 2569 ว่า Black Lotus Labs ระบุให้ Volt Typhoon เป็นผู้อยู่เบื้องหลังเครือข่ายแฝง Silent Train โดยรายงานถูกส่งให้ The Hacker News ก่อนเผยแพร่ Volt Typhoon ยังมีชื่อเรียกอื่น ได้แก่ Bronze Silhouette, Insidious Taurus, UNC3236, Vanguard Panda และ Voltzite
ไทม์ไลน์ของ Silent Train ผูกกับการปราบปรามบอตเน็ตของจีน เครือข่ายนี้เริ่มก่อตัวราวพฤศจิกายน 2566 เพียงไม่กี่สัปดาห์ก่อนการรื้อ KV-botnet รอบแรก KV-botnet เป็นบอตเน็ต IoT ที่โยงกับกลุ่มรัฐจีนหลายกลุ่มรวมถึง Volt Typhoon หลังการรื้อรอบสองช่วงปลายมกราคม 2567 กิจกรรมของ Silent Train พุ่งขึ้น และเปลี่ยนไปใช้โครงสร้างชั่วคราวที่กระจายหลายประเภทอุปกรณ์และหลายประเทศ Black Lotus Labs สรุปว่ากลุ่มนี้เลิกใช้โครงสร้างถาวร แล้วหันมาใช้สายอุปกรณ์แบบใช้ครั้งเดียวที่สร้างใหม่ได้ตามต้องการ
ช่วงต้นปี 2568 สถาปัตยกรรมเปลี่ยนอีกครั้งเป็นแบบผสม อุปกรณ์ระดับองค์กรถูกเก็บไว้ใช้เฉลี่ย 1-3 เดือนแทนการเปลี่ยนทุกครั้ง และต่อมามีรุ่น reverse tunnel ที่ใช้พร็อกซีโอเพนซอร์สอย่าง Chisel และ FRP ส่งทราฟฟิกจากเครื่องที่ติดเชื้อขึ้นไปยังโครงสร้างต้นทาง
ส่วนแคมเปญ zero-day ที่ยืนยันได้มี 4 แคมเปญ แคมเปญแรกเป็นช่องโหว่อัปโหลดไฟล์ใน Versa Director (CVE-2024-39717) ที่กลุ่มนี้เคยใช้ฝัง web shell ชื่อ VersaMem เพื่อเก็บรหัสผ่านและเข้าถึงลูกค้าปลายน้ำ แคมเปญที่ 2 เป็นช่องโหว่ insecure deserialization และ command injection ใน N-able N-central (CVE-2025-8875 และ CVE-2025-8876) แคมเปญที่ 3 เป็นช่องโหว่ข้ามการยืนยันตัวตนใน Cisco Catalyst SD-WAN Controller (CVE-2026-20127 ดู 2026/05/035 ) และแคมเปญที่ 4 เป็นช่องโหว่ OS command injection ใน Arista VeloCloud Orchestrator (CVE-2026-16812 ดู 2026/07/291 ) นอกจากนี้ยังสงสัยว่ากลุ่มนี้ใช้ช่องโหว่ที่น่าจะเป็น zero-day ใน Quest KACE ก่อนแพตช์เดือนตุลาคม 2568 กระทบเหยื่อกว่า 30 ราย
ข้อจำกัดของหลักฐาน คือ แคมเปญ Quest KACE ยังเป็นเพียงข้อสงสัย ไม่อยู่ใน 4 แคมเปญที่ยืนยัน และรายงานไม่ได้ระบุหมายเลข CVE ของช่องโหว่นั้น
วิธีการโจมตี
โครงสร้างหลายทอด — Silent Train ส่งทราฟฟิกผ่านอุปกรณ์หลายชั้นก่อนถึงเป้าหมาย เพื่อซ่อนต้นทางจากทั้งเหยื่อและผู้ป้องกัน แต่ละชั้นมีหน้าที่ชัดเจน ชั้นแรกเป็นเซิร์ฟเวอร์เสมือน (VPS) นอกสหรัฐฯ ที่ใช้เป็นจุดพักชั่วคราวและทิ้งหลังจบเซสชัน ชั้นกลางเป็นอุปกรณ์ SOHO และ IoT นอกสหรัฐฯ ที่กระจายหลายประเทศ หลายผู้ให้บริการ และหลายยี่ห้อ เพื่อปิดบังจุดเริ่ม ชั้นสุดท้ายเป็นอุปกรณ์ในสหรัฐฯ ที่ถูกเจาะ ใช้เป็นทางออกก่อนถึงเหยื่อ ทำให้ทราฟฟิกดูเหมือนมาจากในประเทศและหลบการบล็อกตามภูมิศาสตร์หรือรายการ IP ที่มีประวัติไม่ดี
การเกณฑ์อุปกรณ์เข้าเครือข่าย — ผู้โจมตีเจาะหน้าเว็บจัดการที่เปิดสู่อินเทอร์เน็ตของอุปกรณ์อย่างน้อย 27 ประเภท ฝั่ง SOHO และ IoT เช่น TP-Link, Intelbras, Ruckus Wireless, SATO, NETGEAR, Zyxel และ Cambium ฝั่งองค์กร เช่น Fortinet, Cisco, PRTG, Mirth Connect และ CyberPanel จากนั้นวางเฉพาะเครื่องมือที่จำเป็นสำหรับต่อ SSH เป็นทอด ๆ ได้แก่ บริการ SSH ชั่วคราว กุญแจ ไฟล์คอนฟิก และเครื่องมือที่มีอยู่แล้วในระบบ (living off the land)
แบ่งบทบาทตามประเภทอุปกรณ์ — อุปกรณ์บางประเภทถูกใช้ในตำแหน่งเดิมเสมอ เช่น โมเด็ม Intelbras เป็นได้แค่โหนดส่งต่อ ขณะที่ Netgear Orbi และ FortiGate ในสหรัฐฯ เป็นจุดกลางและจุดออกที่คุยกับเหยื่อโดยตรง ตัวอุปกรณ์เปลี่ยนไปเรื่อย ๆ แต่บทบาทคงที่ ทำให้ระบุตัวผู้โจมตีได้ยากขึ้นมาก
เซสชันสั้นและลบร่องรอย — เซสชันของ Silent Train ยาวเฉลี่ยราว 4 ชั่วโมง บางเซสชันใช้เพียงไม่กี่นาที เมื่อจบงานผู้โจมตีลบทุกอย่างที่วางไว้และรื้อสายทิ้ง วิธีนี้ต่างจากบอตเน็ตทั่วไปที่ใช้รีเลย์หรือเซิร์ฟเวอร์ C2 ถาวร ร่องรอยที่เหลือให้ผู้ป้องกันตรวจพบจึงน้อยมาก
เลือกเป้าที่เปิดทางไปต่อได้ — เป้าหลักเป็นระบบที่มองเห็นและควบคุมเครือข่ายองค์กรได้กว้าง ได้แก่ แพลตฟอร์มบริหารจัดการเครื่องปลายทาง ระบบจัดการเครือข่าย ตัวควบคุม SD-WAN และเทคโนโลยี control plane รวมถึงองค์กรที่ให้บริการลูกค้าปลายน้ำจำนวนมาก หน้าที่ของ Silent Train ครอบคลุมการเจาะช่องโหว่ การขโมยข้อมูลยืนยันตัวตน การนำข้อมูลออก และการรักษาสิทธิ์เข้าถึงระยะยาว
ผลกระทบ
เหยื่อที่ระบุได้มีหลายร้อยราย ครอบคลุมผู้ให้บริการโทรคมนาคม หน่วยงานรัฐ ผู้รับเหมากลาโหม ผู้ให้บริการดาวเทียมและการสื่อสารภารกิจสำคัญ มหาวิทยาลัย บริษัทไอที และโครงสร้างพื้นฐานสำคัญด้านน้ำ พลังงาน คมนาคม การเดินเรือ ระบบราง การบิน และบริการฉุกเฉิน ในสหรัฐฯ กิจกรรมกระจุกที่ฮาวาย แคลิฟอร์เนีย และเท็กซัส ซึ่งเป็นที่ตั้งฐานทัพ โครงข่ายโทรคมนาคม ผู้รับเหมากลาโหม และเครือข่ายโลจิสติกส์สำคัญ
ความหมายของรายงานนี้ คือ Volt Typhoon ไม่ได้มุ่งขโมยข้อมูลเฉพาะหน้า แต่สะสมสิทธิ์เข้าถึงระบบที่ค้ำการป้องกันประเทศและการสื่อสาร Black Lotus Labs ประเมินว่ารูปแบบเหยื่อชี้ถึงความพยายามรักษาการเข้าถึงไว้ใช้ในช่วงความตึงเครียดหรือวิกฤตในภูมิภาคอินโด-แปซิฟิก
อีกด้านหนึ่ง รายงานยืนยันว่าอุปกรณ์ราคาถูกที่ไม่มีใครดูแลถูกใช้เป็นฐานโจมตีเป้าหมายระดับชาติ เจ้าของเราเตอร์ หรืออุปกรณ์ IoT และ FortiGate ที่เปิดหน้าจัดการสู่อินเทอร์เน็ต อาจกลายเป็นทางผ่านของการโจมตีโดยไม่รู้ตัว ขณะที่การใช้สายแบบใช้ครั้งเดียวทำให้การบล็อกด้วย IP หรือการรื้อบอตเน็ตแบบเดิมได้ผลน้อยลง
คำแนะนำ
- ปิดหน้าจัดการของแพลตฟอร์มบริหารจัดการจากอินเทอร์เน็ตทันที — โดยเฉพาะ Versa Director, N-able N-central, Cisco Catalyst SD-WAN Controller, Arista VeloCloud Orchestrator และ Quest KACE ให้เข้าได้เฉพาะผ่าน VPN หรือเครือข่ายจัดการแยก
- ตรวจว่าแพตช์ CVE ทั้ง 5 รายการครบแล้ว — CVE-2024-39717, CVE-2025-8875, CVE-2025-8876, CVE-2026-20127 และ CVE-2026-16812 รวมถึงแพตช์ Quest KACE ตั้งแต่ตุลาคม 2568
- ไล่ตรวจล็อกย้อนหลังของระบบเหล่านี้ — หาการล็อกอินผู้ดูแลจาก IP บ้านหรือ IP ของผู้ให้บริการสายผู้บริโภคในสหรัฐฯ บัญชีหรือกุญแจ SSH ที่ไม่รู้จัก และการเปลี่ยนคอนฟิกนอกช่วงงานปกติ
- ถ้าพบร่องรอย — เปลี่ยนรหัสผ่านและกุญแจทุกชุดที่ระบบนั้นเก็บไว้ แจ้งลูกค้าปลายน้ำที่ระบบเข้าถึงได้ และตรวจลูกข่ายที่ระบบนั้นบริหารจัดการด้วย
- ดูแลอุปกรณ์ขอบเครือข่ายของตัวเอง — ปิดการจัดการผ่าน WAN บนเราเตอร์ SOHO, IoT และ FortiGate อัปเดตเฟิร์มแวร์ และเปลี่ยนอุปกรณ์ที่หมดอายุการสนับสนุน เพื่อไม่ให้ถูกเกณฑ์เป็นโหนดของเครือข่ายแบบนี้
- ระยะยาว — เฝ้าระวังเชิงพฤติกรรมบนระบบ control plane เช่น เซสชัน SSH ชั่วคราวและบริการที่ถูกสร้างแล้วลบในเวลาสั้น เพราะการบล็อก IP อย่างเดียวไม่ทันสายแบบใช้ครั้งเดียว