Redes de Retransmisión y Cero Días: La Campaña Silent Train de Volt Typhoon contra Infraestructuras Críticas

Fecha de publicación: 29 de octubre de 2026
Categoría: Inteligencia de Amenazas / Zero Days / Ciberespionaje

Introducción

Investigaciones de inteligencia de amenazas han sacado a la luz una sofisticada infraestructura encubierta denominada Silent Train, operada por el actor estatal vinculado a China conocido como Volt Typhoon. Durante un periodo de tres años, esta red clandestina fue diseñada específicamente para ocultar la explotación de vulnerabilidades de tipo cero día (zero-day) en plataformas de gestión centralizada que las organizaciones utilizan para administrar dispositivos, redes y operaciones críticas. A través del uso de cadenas de retransmisión dinámicas compuestas por dispositivos domésticos comprometidos y servidores alquilados, el grupo logró evadir filtros de reputación de IP y bloqueos geográficos, impactando a sectores clave como telecomunicaciones, agencias gubernamentales, energía e infraestructura crítica.

¿Qué es Silent Train y el Impacto de sus Plataformas de Gestión? (Análisis General)

Silent Train no es un malware aislado, sino una arquitectura operativa de comando y control (C2) y retransmisión de tráfico altamente disciplinada. Detectada inicialmente a finales de 2023 como una evolución tras las interrupciones de la botnet KV, esta red se caracteriza por la utilización de infraestructura altamente efímera. Los operadores abandonan rápidamente los nodos de salto y construyen nuevas cadenas en cuestión de minutos, dificultando enormemente la atribución en tiempo real y el análisis forense tradicional.

El objetivo estratégico de Volt Typhoon mediante Silent Train ha sido el preposicionamiento en redes críticas (con una fuerte concentración geográfica en regiones como Hawái, California y Texas). Para lograrlo, el grupo atacó sistemáticamente herramientas con un amplio alcance administrativo —como sistemas de SD-WAN, plataformas de gestión de terminales y orquestadores en la nube—, lo que les permite administrar miles de dispositivos downstream sin necesidad de realizar movimientos laterales convencionales ruidosos.

Entre las vulnerabilidades confirmadas explotadas por este actor se encuentran fallos críticos que ya figuran en el catálogo CISA KEV (Known Exploited Vulnerabilities):

  • CVE-2025-8875 (N-able N-central): Deserialización de datos no confiables que permite la ejecución local/remota de código (CVSS v4.0: 9.4 CRITICAL | CWE-502).
  • CVE-2025-8876 (N-able N-central): Validación incorrecta de entradas que permite inyección de comandos del sistema operativo (CVSS v4.0: 9.4 CRITICAL | CWE-20, CWE-78).
  • CVE-2026-20127 (Cisco Catalyst SD-WAN Controller/vSmart/vManage/vBond): Fallo en la autenticación de emparejamiento que permite a un atacante no autenticado remoto eludir controles y obtener privilegios administrativos internos (CVSS v3.1: 10.0 CRITICAL | CWE-287).
  • CVE-2026-16812 (VeloCloud Orchestrator on-prem): Exposición de funcionalidad interna privilegiada que permite a un atacante remoto acceder al host y comprometer la confidencialidad, integridad y disponibilidad (CVSS v4.0: 10.0 CRITICAL | CWE-78).

¿Cómo funciona? (Análisis Técnico)

El funcionamiento técnico de la campaña se divide en flujos de enrutamiento de red y la ejecución precisa de los exploits contra las plataformas de gestión:

  • Flujo de Red y Evasión (Cadenas de Relevo): Cada sesión operativa iniciaba en un servidor alquilado fuera de Estados Unidos. El tráfico se canalizaba posteriormente a través de servidores intermedios, dispositivos SOHO (routers TP-Link, Netgear Orbi) y equipos IoT en otros países, finalizando en un nodo comprometido en EE. UU. ubicado geográficamente cerca del objetivo final. En promedio, el tráfico cruzaba de cuatro a seis saltos, simulando ser tráfico local legítimo para eludir mecanismos de mitigación basados en geolocalización.
  • Disciplina Operativa y Automatización: Las sesiones duraban típicamente cuatro horas (algunas solo minutos). Los operadores utilizaban herramientas nativas del sistema, llaves SSH temporales y servicios proxy de código abierto como Chisel y FRP para establecer túneles inversos. La infraestructura de relevo podía reconstruirse en menos de dos minutos.
  • Explotación de Cero Días y Post-Explotación: Durante las fases clave, el grupo desplegó exploits de día cero contra Versa Director (utilizando webshells en formato JAR residentes en memoria para minimizar evidencias forenses), N-able N-central, Cisco Catalyst SD-WAN, VeloCloud Orchestrator y, de forma probable, Quest KACE. Tras comprometer los sistemas, emplearon funcionalidades administrativas nativas para extraer credenciales, eliminar registros de auditoría y establecer persistencia sin dejar rastros persistentes en disco.

Sistemas / Entornos Afectados

La campaña afectó a una amplia gama de dispositivos y plataformas de gestión empresarial, así como a organizaciones de sectores estratégicos:

  • Dispositivos de Red y SOHO: Routers TP-Link, sistemas Netgear Orbi, modems Intelbras y appliances de seguridad Fortinet.
  • Plataformas de Gestión y SD-WAN: N-able N-central (versiones anteriores a 2025.3.1), Cisco Catalyst SD-WAN Controller (vSmart, vManage, vBond), VeloCloud Orchestrator on-prem, Versa Director y Quest KACE.
  • Sectores Impactados: Telecomunicaciones, agencias gubernamentales, contratistas de defensa, comunicaciones satelitales y de emergencia, universidades con programas ROTC, proveedores de servicios gestionados (MSP/IT) e infraestructura crítica (agua, energía, transporte, marítimo, ferroviario y aviación).
CVE Categoría (CWE) Impacto CVSS Vector (resumido)
CVE-2025-8875 CWE-502 (Deserialization) Ejecución de Código 9.4 (Critical) CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H
CVE-2025-8876 CWE-20 / CWE-78 (Command Inj.) Ejecución de Comandos OS 9.4 (Critical) CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H
CVE-2026-20127 CWE-287 (Improper Auth) Bypass de Autenticación / Admin 10.0 (Critical) CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
CVE-2026-16812 CWE-78 (OS Command / Priv. Func.) Compromiso Total del Orchestrator 10.0 (Critical) CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H

Mitigación y Detección

Remediación

  • Actualización y Parches Prioritarios: Aplicar inmediatamente los boletines de seguridad de los fabricantes para N-able N-central (actualizar a 2025.3.1 o superior), Cisco SD-WAN, VeloCloud Orchestrator y Quest KACE.
  • Reducción de Superficie de Exposición: Aislar las interfaces administrativas y de gestión de plataformas críticas, restringiendo el acceso exclusivamente a redes de gestión internas o mediante VPNs corporativas reforzadas con autenticación multifactor (MFA).
  • Hardening de Dispositivos SOHO: Reemplazar o actualizar regularmente equipos periféricos y routers domésticos/de oficina que puedan ser utilizados como nodos de retransmisión (relays).

Detección

  • Monitoreo de Túneles y Proxies: Auditar el uso no autorizado de herramientas de tunelización como Chisel o FRP, así como la creación repentina de servicios SSH efímeros.
  • Análisis Forense en Memoria: Buscar la presencia de webshells residentes en memoria (especialmente artefactos JAR en plataformas Java) y el borrado sistemático de registros de auditoría del sistema operativo.

“Los sistemas con un amplio alcance administrativo representan puertas de enlace de alto valor hacia toda la organización y sus clientes. Reducir la exposición a Internet, acelerar la aplicación de parches y preservar la telemetría de seguridad son medidas esenciales para detectar amenazas de forma temprana.”

Recapitulando

La campaña Silent Train evidenció la alta capacidad operativa y de inversión del actor Volt Typhoon para descubrir y explotar vulnerabilidades de cero día, utilizando redes de retransmisión efímeras y altamente dinámicas para enmascarar sus actividades de preposicionamiento estratégico. El uso continuado de fallos críticos en plataformas de gestión empresarial subraya la necesidad urgente de minimizar la exposición en Internet de sistemas con privilegios globales y fortalecer la visibilidad en las capas de red y memoria.

Referencias