Volt Typhoon Gunakan Silent Train untuk Sembunyikan Serangan Zero-Day, Targetkan Infrastruktur Penting Amerika Serikat
Kelompok peretas Volt Typhoon, yang dikaitkan dengan operasi spionase siber yang didukung pemerintah China, diketahui menggunakan sebuah framework tersembunyi bernama Silent Train untuk melancarkan serangan terhadap infrastruktur jaringan penting di Amerika Serikat.
Framework tersebut memungkinkan penyerang menyembunyikan sumber aktivitasnya melalui jaringan router, perangkat Internet of Things (IoT), server, dan sistem enterprise yang telah dikompromikan. Perangkat-perangkat tersebut kemudian dihubungkan secara berantai dan digunakan sebagai perantara untuk menyerang target tertentu.
Temuan ini diungkapkan oleh Black Lotus Labs, divisi riset keamanan milik perusahaan telekomunikasi Lumen Technologies, dalam laporan yang diterbitkan pada 28 Oktober 2026.
Selama tiga tahun melakukan pemantauan, peneliti berhasil mengidentifikasi sedikitnya empat kampanye eksploitasi zero-day yang telah dikonfirmasi serta satu kampanye lain yang diduga menggunakan kerentanan zero-day.
Target serangan mencakup perusahaan telekomunikasi, lembaga pemerintah, kontraktor pertahanan, penyedia layanan satelit, perusahaan IT, Managed Service Provider (MSP), fasilitas pendidikan, hingga operator infrastruktur penting seperti energi, transportasi, dan layanan darurat.
Menariknya, Silent Train dirancang untuk menghapus hampir seluruh jejak operasional setelah serangan selesai. Infrastruktur yang digunakan dapat dibangun dalam waktu singkat, dipakai selama beberapa jam, kemudian dibongkar dan diganti dengan perangkat lain.
Pendekatan tersebut membuat aktivitas Volt Typhoon semakin sulit dilacak melalui metode pemantauan keamanan konvensional.
Apa Itu Silent Train yang Digunakan Volt Typhoon?
Silent Train merupakan framework operasional tersembunyi yang digunakan Volt Typhoon untuk membangun jalur komunikasi menuju sistem yang menjadi target serangan.
Berbeda dari botnet konvensional yang umumnya menggunakan perangkat terinfeksi dalam jaringan relatif persisten, Silent Train memanfaatkan rangkaian perangkat yang dikompromikan sesuai kebutuhan.
Perangkat tersebut dapat berupa router rumahan, modem, perangkat IoT, server, hingga appliance jaringan kelas enterprise.
Setelah berhasil memperoleh akses, penyerang menghubungkan perangkat-perangkat tersebut untuk membentuk jalur komunikasi berlapis atau multi-hop relay network.
Melalui mekanisme ini, aktivitas serangan tidak langsung berasal dari infrastruktur yang dikendalikan operator.
Sebaliknya, traffic melewati sejumlah perangkat perantara sebelum mencapai target.
Black Lotus Labs menjelaskan bahwa Silent Train tidak hanya digunakan untuk menyembunyikan aktivitas pemindaian jaringan.
Framework tersebut dimanfaatkan pada tahapan sensitif operasi siber, termasuk eksploitasi kerentanan, pencurian kredensial, pengambilan data, serta mempertahankan akses jarak jauh terhadap sistem korban.
Karena infrastruktur perantara dapat diganti secara berkala, penelusuran alamat IP yang digunakan penyerang menjadi jauh lebih rumit.
Bahkan jika satu perangkat perantara berhasil diidentifikasi, keberadaannya belum tentu dapat mengungkap keseluruhan jaringan operasional yang digunakan.
Serangan Disembunyikan Melalui Rangkaian VPS dan Router yang Diretas
Berdasarkan analisis Black Lotus Labs, Silent Train menggunakan arsitektur komunikasi dengan beberapa lapisan perantara.
Aktivitas biasanya dimulai dari Virtual Private Server (VPS) yang berada di luar Amerika Serikat.
Dari VPS tersebut, koneksi diteruskan menuju infrastruktur lain, termasuk perangkat SOHO atau Small Office/Home Office yang telah dikompromikan di berbagai negara.
SOHO mencakup perangkat jaringan yang umum digunakan pada rumah dan kantor kecil, seperti router, modem, serta access point.
Setelah melewati sejumlah perangkat internasional, traffic kemudian diarahkan menuju perangkat yang berada di Amerika Serikat.
Perangkat terakhir tersebut berfungsi sebagai titik keluar sebelum komunikasi mencapai sistem target.
Dengan pendekatan ini, aktivitas yang diterima organisasi korban dapat terlihat berasal dari alamat IP domestik Amerika Serikat, bukan langsung dari infrastruktur luar negeri.
Strategi tersebut berpotensi membantu penyerang melewati sistem pembatasan geografis atau pemeriksaan reputasi IP yang terlalu mengandalkan lokasi jaringan.
Menurut Black Lotus Labs, sebuah sesi Silent Train dapat menggunakan empat hingga enam perangkat perantara sebelum mencapai target.
Setiap lapisan memiliki fungsi berbeda dan dioperasikan secara terpisah untuk mempersulit analisis terhadap keseluruhan rantai serangan.
Namun, tidak semua sesi menggunakan jumlah perangkat atau konfigurasi yang sama.
Modem Intelbras dan Router Netgear Orbi Digunakan sebagai Relay
Salah satu temuan menarik adalah cara Volt Typhoon memberikan peran tertentu kepada perangkat yang telah dikompromikan.
Black Lotus Labs mengamati bahwa modem Intelbras digunakan sebagai relay di luar Amerika Serikat.
Sementara itu, perangkat Netgear Orbi ditempatkan sebagai titik perantara di Amerika Serikat sebelum traffic diarahkan menuju korban.
Pembagian tersebut tidak bersifat acak.
Selama periode pengamatan, peneliti menemukan bahwa jenis perangkat tertentu secara konsisten menempati posisi yang sama dalam rantai komunikasi.
Selain Intelbras dan Netgear, framework ini juga memanfaatkan perangkat dari berbagai produsen lain, termasuk TP-Link, Ruckus, SATO, Zyxel, dan Cambium.
Secara keseluruhan, Black Lotus Labs mengidentifikasi lebih dari 27 kategori perangkat yang digunakan atau dikompromikan dalam operasi Silent Train.
Dalam perkembangannya, infrastruktur tersebut turut memanfaatkan appliance Fortinet, perangkat Cisco, sistem monitoring PRTG, Mirth Connect, dan server CyberPanel.
Namun, penyebutan merek atau produk tersebut tidak berarti seluruh model dari masing-masing vendor memiliki kerentanan yang sama.
Peneliti mengamati pemanfaatan perangkat tertentu dalam infrastruktur serangan, sementara metode kompromi dan kerentanan yang digunakan dapat berbeda untuk setiap kasus.
Black Lotus Labs juga menemukan sejumlah perangkat yang belum memiliki kerentanan publik yang diketahui saat digunakan.
Temuan tersebut menimbulkan dugaan bahwa Volt Typhoon memiliki akses terhadap exploit tambahan yang belum diungkap secara luas.
Infrastruktur Serangan Bisa Dibangun dalam Waktu Kurang dari Dua Menit
Salah satu karakteristik utama Silent Train adalah kecepatan penyusunan infrastrukturnya.
Black Lotus Labs menemukan bahwa operator dalam beberapa kasus mampu mengeksploitasi perangkat dan membangun rangkaian relay dalam waktu kurang dari dua menit.
Kecepatan tersebut menunjukkan kemungkinan penggunaan proses otomatisasi atau semi-otomatisasi untuk menyiapkan lingkungan operasional.
Setelah rangkaian komunikasi terbentuk, penyerang dapat memanfaatkannya untuk menjalankan aktivitas terhadap target yang telah dipilih.
Sesi operasional Silent Train umumnya berlangsung dalam waktu relatif singkat.
Menurut peneliti, rata-rata durasi sesi sekitar empat jam, meskipun sejumlah aktivitas hanya berlangsung beberapa menit.
Sebagian besar operasi dirancang agar tidak membutuhkan keberadaan perangkat perantara dalam jangka panjang.
Setelah tugas selesai, operator membongkar jalur komunikasi dan menghapus komponen yang sebelumnya dipasang.
Proses tersebut menjadi bagian penting dari strategi penyamaran Silent Train.
Dengan mengurangi durasi penggunaan perangkat, Volt Typhoon berupaya memperkecil peluang aktivitas mencurigakan ditemukan oleh administrator atau sistem keamanan.
Volt Typhoon Hapus SSH Key dan Konfigurasi Setelah Serangan
Untuk membangun komunikasi antarperangkat, operator Silent Train memanfaatkan layanan dan utilitas yang tersedia pada sistem target.
Black Lotus Labs menemukan penggunaan SSH sebagai salah satu mekanisme utama untuk menghubungkan perangkat perantara.
Penyerang dapat memasang layanan SSH sementara, membuat SSH key, serta menambahkan file konfigurasi yang dibutuhkan selama sesi berlangsung.
Pada sejumlah operasi, Volt Typhoon juga memanfaatkan perangkat lunak yang sah untuk membuat koneksi tunnel.
Pendekatan ini merupakan bagian dari teknik living off the land, ketika penyerang menggunakan fitur bawaan sistem atau tool administrasi yang tersedia daripada selalu mengandalkan malware khusus.
Penggunaan tool yang tampak seperti aktivitas administrasi normal dapat mempersulit pendeteksian.
Setelah sesi berakhir, operator menghapus SSH key, konfigurasi, layanan sementara, dan artefak lain yang digunakan untuk membangun koneksi.
Dalam beberapa kasus, peneliti juga menemukan upaya penghapusan atau perubahan log untuk menghilangkan bukti aktivitas.
Strategi ini dikenal sebagai teknik anti-forensic, yaitu tindakan yang bertujuan mengurangi informasi yang dapat digunakan untuk melakukan investigasi digital.
Akibatnya, pemeriksaan terhadap perangkat setelah serangan selesai mungkin tidak menemukan file malware yang masih aktif.
Silent Train Berkembang Setelah FBI Membongkar KV-Botnet
Pengembangan Silent Train berkaitan dengan upaya penegakan hukum terhadap infrastruktur botnet yang sebelumnya digunakan Volt Typhoon.
Kelompok tersebut diketahui pernah menggunakan KV-Botnet, jaringan perangkat yang telah dikompromikan untuk menyembunyikan aktivitas terhadap infrastruktur penting Amerika Serikat.
Pada akhir 2023, operasi penegakan hukum yang melibatkan FBI berhasil mengganggu sebagian infrastruktur KV-Botnet.
Botnet tersebut memanfaatkan berbagai router dan perangkat jaringan yang telah dikompromikan untuk meneruskan traffic berbahaya.
Black Lotus Labs menjelaskan bahwa mereka telah mengamati pola aktivitas Silent Train sejak November 2023, sebelum gangguan awal terhadap KV-Botnet.
Artinya, framework baru ini tidak sepenuhnya muncul sebagai respons setelah operasi penegakan hukum dilakukan.
Namun, aktivitas Silent Train meningkat setelah gangguan terhadap KV-Botnet, disertai perubahan cepat pada jenis perangkat, lokasi geografis, dan pola operasional.
Berbeda dari pendekatan sebelumnya, Silent Train lebih menekankan penggunaan perangkat sementara yang dapat segera diganti.
Strategi tersebut memberikan fleksibilitas lebih besar kepada operator apabila salah satu bagian infrastruktur berhasil diblokir atau diambil alih pihak berwenang.
Silent Train Berkembang Menjadi Infrastruktur Hybrid pada 2025
Pada tahap awal, Silent Train sebagian besar menggunakan perangkat SOHO dan IoT sebagai relay sementara.
Perangkat tersebut dikompromikan untuk satu sesi operasional, kemudian dibersihkan setelah selesai digunakan.
Namun, sejak awal 2025, Black Lotus Labs mulai mengamati perubahan dalam arsitektur framework tersebut.
Volt Typhoon mengembangkan model hybrid yang menggabungkan perangkat relay sementara dengan sistem enterprise yang dipertahankan lebih lama.
Dalam model baru ini, perangkat kelas enterprise dapat digunakan sebagai titik perantara terakhir sebelum target.
Berbeda dari router rumahan yang hanya dipakai selama beberapa jam, sistem enterprise tertentu dipertahankan selama satu hingga tiga bulan.
Pendekatan tersebut memberikan stabilitas tambahan tanpa menghilangkan fleksibilitas infrastruktur relay.
Black Lotus Labs juga menemukan penggunaan reverse tunneling melalui tool open-source seperti Chisel dan FRP.
Teknologi tersebut memungkinkan komunikasi diteruskan melalui koneksi yang dibangun dari perangkat yang telah dikompromikan menuju infrastruktur perantara.
Dengan menggabungkan SSH chaining dan reverse tunneling, Volt Typhoon memiliki beberapa metode untuk membangun komunikasi tersembunyi.
Namun, keberadaan Chisel, FRP, atau layanan SSH pada suatu sistem tidak otomatis menunjukkan kompromi karena tool tersebut juga digunakan secara sah oleh administrator.
Penilaiannya harus mempertimbangkan konfigurasi, tujuan koneksi, dan aktivitas yang menyertainya.
Empat Kampanye Zero-Day Dikonfirmasi, Satu Lainnya Masih Diduga
Selama pemantauan tiga tahun, Black Lotus Labs mengidentifikasi sedikitnya empat kampanye eksploitasi zero-day yang telah dikonfirmasi.
Selain itu, terdapat satu kampanye lain yang diduga menggunakan kerentanan zero-day berdasarkan aktivitas yang diamati.
Target utamanya merupakan sistem manajemen terpusat, SD-WAN orchestrator, serta platform yang memberikan akses administratif terhadap banyak perangkat.
Beberapa kerentanan yang dikaitkan dengan operasi Silent Train meliputi:
| Produk | Kerentanan | Keterangan |
|---|---|---|
| Versa Director | CVE-2024-39717 | Eksploitasi zero-day pada platform manajemen SD-WAN |
| N-able N-central | CVE-2025-8875 dan CVE-2025-8876 | Rangkaian kerentanan pada sistem manajemen endpoint |
| Cisco Catalyst SD-WAN | CVE-2026-20127 | Kerentanan kritis pada control plane SD-WAN |
| VeloCloud Orchestrator | CVE-2026-16812 | Eksploitasi zero-day pada sistem manajemen SD-WAN |
| Quest KACE | Belum dikonfirmasi | Dugaan eksploitasi zero-day berdasarkan bukti aktivitas |
Perlu dibedakan antara jumlah kampanye eksploitasi dan jumlah CVE yang terlibat.
Sebagai contoh, operasi terhadap N-able N-central berkaitan dengan dua identifikasi CVE dalam satu rangkaian eksploitasi.
Sementara itu, dugaan eksploitasi Quest KACE belum dapat dikaitkan secara definitif dengan satu kerentanan tertentu.
Black Lotus Labs juga menegaskan bahwa tidak seluruh aktivitas terhadap platform enterprise dapat dipastikan menggunakan zero-day.
Dalam sejumlah kasus, telemetry yang tersedia belum cukup untuk memastikan apakah penyerang menggunakan kerentanan yang sudah diketahui atau kelemahan yang belum dipublikasikan.
Versa Director Menjadi Salah Satu Target Awal
Salah satu kampanye yang telah didokumentasikan melibatkan produk Versa Director, platform yang digunakan untuk mengelola infrastruktur Software-Defined Wide Area Network (SD-WAN).
Pada pertengahan 2024, Black Lotus Labs mengungkap aktivitas Volt Typhoon yang memanfaatkan kerentanan CVE-2024-39717.
Setelah berhasil mengeksploitasi sistem, penyerang memasang webshell berbasis Java yang beroperasi di dalam memori.
Penggunaan in-memory webshell membantu mengurangi kebutuhan menyimpan file tambahan pada storage, sehingga aktivitas berbahaya menjadi lebih sulit ditemukan melalui pemeriksaan filesystem biasa.
Dengan menguasai platform manajemen SD-WAN, penyerang dapat memanfaatkan fungsi administratif yang memang tersedia dalam produk tersebut.
Hal ini memberikan peluang untuk mengakses perangkat dan lingkungan pelanggan yang dikelola melalui platform.
Pendekatan tersebut berbeda dari serangan yang harus bergerak dari satu komputer ke komputer lain secara manual.
Kompromi terhadap sistem manajemen dapat memberikan jangkauan yang luas hanya melalui satu titik akses.
N-able N-central Memberikan Akses ke Banyak Endpoint
Produk lain yang menjadi target adalah N-able N-central, platform Remote Monitoring and Management (RMM) yang digunakan penyedia layanan IT untuk mengelola perangkat pelanggan.
N-central memungkinkan administrator melakukan inventarisasi hardware, memantau sistem, mengelola software, serta menjalankan aktivitas administrasi jarak jauh.
Bagi Managed Service Provider, platform seperti ini menjadi bagian penting dalam operasional karena satu sistem dapat mengelola ratusan hingga ribuan endpoint.
Black Lotus Labs menghubungkan aktivitas Volt Typhoon dengan rangkaian kerentanan CVE-2025-8875 dan CVE-2025-8876.
Melalui eksploitasi pada platform manajemen terpusat, penyerang berpotensi memperoleh akses terhadap informasi sensitif maupun fungsi administratif yang menjangkau banyak sistem.
Risiko menjadi semakin besar ketika platform yang dikompromikan memiliki hubungan kepercayaan dengan jaringan pelanggan.
Kondisi tersebut dapat memungkinkan penyerang memanfaatkan jalur akses yang sebenarnya disediakan untuk kegiatan administrasi sah.
Inilah salah satu alasan Black Lotus Labs menilai sistem manajemen terpusat sebagai target bernilai tinggi.
Cisco Catalyst SD-WAN Dieksploitasi Melalui CVE-2026-20127
Volt Typhoon juga diketahui mengeksploitasi kerentanan kritis CVE-2026-20127 pada Cisco Catalyst SD-WAN.
Kerentanan tersebut memiliki skor CVSS 10.0 dan memengaruhi mekanisme control plane yang digunakan dalam lingkungan SD-WAN.
Menurut Black Lotus Labs, aktivitas eksploitasi telah diamati sejak akhir 2025.
Kelompok tersebut menargetkan mekanisme trusted peering yang menghubungkan perangkat SD-WAN dengan infrastruktur pengelolaannya.
Pendekatan ini menunjukkan fokus terhadap sistem yang memiliki hubungan kepercayaan antarperangkat jaringan.
Apabila mekanisme tersebut berhasil disalahgunakan, penyerang berpotensi memperoleh posisi strategis dalam pengelolaan konektivitas perusahaan.
CVE-2026-20127 kemudian diumumkan secara publik oleh Cisco pada Februari 2026.
Namun, Black Lotus Labs mencatat bahwa aktivitas eksploitasi Volt Typhoon tetap berlangsung setelah kerentanan tersebut diumumkan.
Hal ini memperlihatkan bahwa keberadaan patch tidak serta-merta menghentikan ancaman selama masih terdapat perangkat yang belum diperbarui.
VeloCloud Orchestrator Juga Menjadi Sasaran
Black Lotus Labs turut mengidentifikasi eksploitasi zero-day pada VeloCloud Orchestrator, platform manajemen terpusat untuk deployment SD-WAN.
Kerentanan tersebut kemudian diberi identifikasi CVE-2026-16812.
VeloCloud Orchestrator memungkinkan organisasi melakukan konfigurasi, pemantauan, dan pengelolaan perangkat SD-WAN melalui satu sistem.
Karena memiliki fungsi administratif yang luas, kompromi terhadap orchestrator dapat menimbulkan risiko terhadap berbagai perangkat yang berada di bawah pengelolaannya.
Menurut peneliti, VeloCloud menjadi platform SD-WAN ketiga yang dieksploitasi Volt Typhoon setelah Versa Director dan Cisco Catalyst SD-WAN.
Pola tersebut menunjukkan konsistensi dalam pemilihan target.
Alih-alih mengandalkan serangan terhadap perangkat pengguna secara individual, Volt Typhoon lebih memilih komponen yang memiliki kendali terhadap infrastruktur jaringan secara luas.
Dengan pendekatan ini, penyerang dapat memperoleh akses strategis sekaligus mengurangi aktivitas yang mungkin memicu sistem pendeteksian keamanan.
Quest KACE Diduga Menjadi Korban Zero-Day Lainnya
Selain empat kampanye yang telah dikonfirmasi, Black Lotus Labs menemukan indikasi eksploitasi zero-day terhadap Quest KACE.
Quest KACE merupakan platform Unified Endpoint Management (UEM) yang digunakan organisasi untuk mengelola perangkat IT.
Menurut peneliti, kampanye tersebut memengaruhi lebih dari 30 korban.
Aktivitas mencurigakan yang diamati menunjukkan kemungkinan penggunaan kerentanan yang belum diketahui secara publik pada saat serangan berlangsung.
Namun, keterbatasan log membuat peneliti belum dapat mengidentifikasi kelemahan teknis yang digunakan secara pasti.
Black Lotus Labs memberikan penilaian dengan tingkat keyakinan sedang atau moderate confidence bahwa Volt Typhoon mengeksploitasi zero-day dalam kampanye tersebut.
Aktivitas serangan mulai menurun setelah Quest menerbitkan pembaruan keamanan pada Oktober 2025.
Menariknya, setelah memperoleh akses ke server KACE, penyerang tidak harus melakukan lateral movement secara luas melalui jaringan korban.
Operator memanfaatkan kemampuan administratif KACE untuk mengakses dan mengambil kredensial yang tersedia.
Data tersebut kemudian dapat dikirimkan keluar dari lingkungan korban melalui infrastruktur yang dikendalikan penyerang.
Kasus ini menjadi contoh bagaimana platform manajemen endpoint dapat digunakan untuk memperoleh informasi sensitif tanpa menimbulkan banyak aktivitas pergerakan antarserver.
Target Utama Meliputi Telekomunikasi, Pertahanan, dan Infrastruktur Kritis
Black Lotus Labs menemukan bahwa Volt Typhoon menggunakan Silent Train terhadap organisasi yang memiliki nilai strategis tinggi.
Targetnya mencakup perusahaan telekomunikasi, kontraktor pertahanan, instansi pemerintah, penyedia komunikasi satelit, perusahaan IT, dan MSP.
Kelompok tersebut juga menargetkan organisasi yang mengoperasikan infrastruktur penting, termasuk sektor energi, air, transportasi, penerbangan, maritim, kereta api, dan layanan darurat.
Sejumlah universitas yang memiliki hubungan dengan program pertahanan dan militer juga menjadi bagian dari pola penargetan.
Meski berasal dari sektor berbeda, organisasi-organisasi tersebut memiliki karakteristik yang relatif sama.
Sebagian besar mengelola sistem penting atau memiliki konektivitas ke jaringan lain yang lebih luas.
Perusahaan telekomunikasi, misalnya, menyediakan layanan komunikasi untuk pelanggan pemerintah, militer, maupun perusahaan besar.
Sementara itu, MSP dapat memiliki akses administratif terhadap sistem pelanggan melalui platform manajemen jarak jauh.
Dengan memperoleh akses terhadap salah satu organisasi tersebut, penyerang berpotensi menjangkau sistem tambahan yang terhubung melalui hubungan kepercayaan.
Menurut Black Lotus Labs, pemilihan target ini menunjukkan bahwa Silent Train tidak dirancang untuk serangan massal secara acak.
Framework tersebut lebih banyak digunakan dalam operasi yang dipersiapkan secara khusus terhadap target bernilai tinggi.
California, Texas, dan Hawaii Menjadi Wilayah Paling Banyak Ditargetkan
Dari sisi geografis, Black Lotus Labs menemukan konsentrasi aktivitas Silent Train di tiga wilayah Amerika Serikat, yaitu California, Texas, dan Hawaii.
Ketiga negara bagian tersebut secara konsisten muncul sebagai wilayah yang paling banyak ditargetkan selama periode pemantauan dari November 2023 hingga Juli 2026.
Menurut peneliti, wilayah tersebut memiliki berbagai infrastruktur strategis, termasuk fasilitas militer, sistem telekomunikasi, industri pertahanan, penyedia komunikasi satelit, dan jaringan logistik.
Hawaii memiliki posisi geografis penting dalam operasi Amerika Serikat di kawasan Pasifik.
Sementara itu, California dan Texas menjadi lokasi berbagai perusahaan teknologi, fasilitas pertahanan, pusat komunikasi, serta infrastruktur energi.
Black Lotus Labs menilai pola penargetan tersebut konsisten dengan upaya memperoleh akses jangka panjang terhadap sistem yang memiliki relevansi strategis di kawasan Indo-Pasifik.
Namun, peneliti juga mengakui bahwa alasan pasti di balik konsentrasi geografis tersebut belum dapat dipastikan sepenuhnya.
Dengan demikian, hubungan antara pemilihan target dan kemungkinan kepentingan geopolitik merupakan hasil analisis intelijen, bukan bukti langsung mengenai rencana serangan tertentu di masa depan.
Operasi Silent Train Banyak Dilakukan pada Jam Kerja China
Analisis terhadap pola waktu operasional juga memberikan gambaran mengenai aktivitas operator Silent Train.
Black Lotus Labs menemukan bahwa sebagian besar aktivitas berlangsung pada hari Senin hingga Jumat.
Sesi operasional terutama terjadi antara 09.00 hingga 22.00 China Standard Time (UTC+8).
Waktu tersebut relatif sesuai dengan jam kerja di China, meskipun berlangsung dalam rentang yang cukup panjang.
Peneliti juga menemukan penurunan aktivitas pada malam hari dan akhir pekan.
Selain itu, terdapat periode penurunan aktivitas selama beberapa minggu yang bertepatan dengan perayaan Tahun Baru Imlek.
Pola tersebut menunjukkan kemungkinan bahwa Silent Train dikendalikan melalui operasi yang melibatkan operator manusia, bukan hanya sistem otomatis yang berjalan tanpa pengawasan.
Black Lotus Labs juga mengamati adanya peningkatan aktivitas pada waktu tertentu, seperti menjelang siang, pertengahan sore, dan malam hari.
Menurut peneliti, karakteristik tersebut konsisten dengan aktivitas terstruktur dan kemungkinan pembagian shift kerja.
Namun, kesesuaian waktu operasional dengan zona waktu China tidak dengan sendirinya membuktikan identitas individu yang mengendalikan setiap sesi.
Atribusi terhadap Volt Typhoon didasarkan pada rangkaian temuan teknis dan investigasi, bukan hanya analisis waktu aktivitas.
CISA Sebelumnya Peringatkan Ancaman Volt Typhoon
Volt Typhoon telah menjadi perhatian lembaga keamanan Amerika Serikat selama beberapa tahun terakhir.
Kelompok ini dikaitkan dengan operasi spionase siber terhadap berbagai organisasi yang mengelola infrastruktur penting.
Cybersecurity and Infrastructure Security Agency (CISA) sebelumnya memperingatkan bahwa Volt Typhoon berupaya mempertahankan akses terhadap sistem yang dapat memiliki peran penting ketika terjadi krisis atau konflik.
Berbeda dari kelompok ransomware yang umumnya melakukan enkripsi data untuk mendapatkan pembayaran, Volt Typhoon lebih banyak dikaitkan dengan aktivitas mempertahankan akses tersembunyi dan pengumpulan informasi strategis.
Pola tersebut membuat ancamannya berbeda dari serangan siber yang langsung menimbulkan gangguan operasional.
Sebuah organisasi dapat mengalami kompromi tanpa segera menyadarinya apabila penyerang tidak melakukan aktivitas yang terlihat mencolok.
Dalam konteks Silent Train, Black Lotus Labs menemukan bahwa kelompok tersebut menggunakan infrastruktur khusus untuk melindungi operasi eksploitasi bernilai tinggi.
Penggunaan zero-day memperlihatkan bahwa penyerang memiliki kemampuan untuk memanfaatkan kelemahan yang belum diketahui atau belum mendapatkan perbaikan saat serangan dilakukan.
Meski demikian, temuan ini tidak berarti setiap perangkat yang pernah digunakan dalam Silent Train telah diserang menggunakan zero-day.
Mengapa Sistem Manajemen Terpusat Menjadi Target Berbahaya?
Salah satu temuan penting dalam laporan Black Lotus Labs adalah fokus Volt Typhoon terhadap sistem yang memiliki kendali administratif luas.
Sistem tersebut mencakup SD-WAN orchestrator, endpoint management, network management, serta platform administrasi out-of-band.
Dalam lingkungan enterprise, komponen seperti ini digunakan untuk mengelola banyak perangkat melalui satu antarmuka.
Sebagai contoh, sebuah RMM dapat memberikan kemampuan menjalankan perintah, memindahkan file, dan mengelola konfigurasi pada ratusan komputer.
Sementara itu, SD-WAN orchestrator dapat digunakan untuk mengatur hubungan dan kebijakan jaringan pada berbagai lokasi perusahaan.
Apabila penyerang berhasil menguasai salah satu sistem tersebut, akses yang diperoleh dapat jauh lebih luas dibandingkan kompromi terhadap satu komputer pengguna.
Penyerang juga dapat memanfaatkan fungsi administratif yang memang tersedia, sehingga aktivitasnya tampak menyerupai pekerjaan operator IT yang sah.
Kondisi tersebut dapat mengurangi kebutuhan lateral movement, yaitu aktivitas berpindah dari satu sistem ke sistem lain setelah kompromi awal.
Semakin sedikit perpindahan yang diperlukan, semakin kecil pula kemungkinan aktivitas tertentu terdeteksi oleh sistem pemantauan endpoint.
Karena itu, Black Lotus Labs menilai sistem manajemen terpusat sebagai salah satu titik paling sensitif dalam keamanan infrastruktur modern.
Administrator Disarankan Membatasi Akses Management Interface
Menanggapi temuan ini, Black Lotus Labs memberikan sejumlah rekomendasi bagi organisasi yang mengoperasikan infrastruktur jaringan dan sistem manajemen.
Salah satu langkah terpenting adalah memastikan antarmuka administratif tidak dapat diakses secara bebas melalui internet.
Halaman manajemen router, firewall, VPN gateway, SD-WAN orchestrator, dan platform RMM sebaiknya dibatasi menggunakan kontrol akses yang sesuai.
Organisasi dapat memanfaatkan jaringan manajemen khusus, jump host, VPN administratif, atau kebijakan akses berbasis alamat IP dan identitas.
Selain itu, administrator perlu meninjau hubungan kepercayaan yang dimiliki sistem manajemen terhadap perangkat maupun jaringan pelanggan.
Akses yang tidak diperlukan sebaiknya dihapus atau dibatasi berdasarkan prinsip least privilege.
Pembaruan firmware dan software juga harus menjadi prioritas, khususnya pada perangkat yang memiliki kerentanan yang telah diketahui dieksploitasi.
Namun, pembaruan saja belum tentu cukup apabila penyerang telah memperoleh akses sebelum patch dipasang.
Karena itu, organisasi perlu melakukan pemeriksaan terhadap akun, konfigurasi, dan aktivitas mencurigakan yang berpotensi menunjukkan kompromi sebelumnya.
Centralized Logging Penting untuk Mendeteksi Serangan yang Menghapus Jejak
Teknik anti-forensic Silent Train membuat pemantauan log menjadi semakin penting.
Black Lotus Labs merekomendasikan penggunaan sistem pencatatan log terpusat dengan masa penyimpanan yang memadai.
Dengan mengirimkan log ke sistem terpisah, organisasi dapat mempertahankan sebagian bukti aktivitas meskipun penyerang menghapus file atau mengubah konfigurasi pada perangkat yang dikompromikan.
Administrator juga perlu memantau aktivitas login administratif yang tidak biasa.
Contohnya meliputi autentikasi dari lokasi yang tidak dikenal, perubahan konfigurasi pada jam operasional yang tidak lazim, serta penggunaan API administratif di luar pola normal.
Aktivitas transfer file jarak jauh dan penggunaan tool jaringan juga perlu mendapatkan perhatian.
Namun, indikator seperti koneksi SSH atau penggunaan tunnel tidak selalu berarti terdapat serangan.
Dalam berbagai lingkungan IT, mekanisme tersebut merupakan bagian dari aktivitas administrasi yang sah.
Karena itu, proses deteksi harus mempertimbangkan konteks penggunaan, perangkat tujuan, identitas pengguna, dan perubahan konfigurasi yang terjadi.
Black Lotus Labs juga merekomendasikan agar organisasi mengikuti panduan CISA serta National Cyber Security Centre (NCSC) mengenai perlindungan terhadap aktivitas Volt Typhoon dan jaringan perangkat yang dikompromikan.
Penyedia Hosting dan MSP Perlu Memperhatikan Risiko Akses Pelanggan
Temuan Silent Train juga relevan bagi penyedia hosting, cloud, dan Managed Service Provider.
Organisasi pada sektor tersebut sering mengoperasikan infrastruktur manajemen yang memiliki akses langsung terhadap server dan perangkat milik pelanggan.
Sistem seperti RMM, panel administrasi server, management API, dan antarmuka out-of-band dapat memiliki hak akses yang sangat luas.
Jika salah satu sistem tersebut dikompromikan, penyerang mungkin memperoleh kesempatan mengakses banyak lingkungan pelanggan melalui hubungan kepercayaan yang sudah ada.
Risiko menjadi semakin besar apabila antarmuka manajemen tersedia secara langsung di internet tanpa pembatasan tambahan.
Karena itu, penyedia layanan disarankan menerapkan segmentasi jaringan manajemen, pengaturan hak akses administratif, serta pemantauan aktivitas yang terpisah dari jaringan produksi.
Penggunaan sistem monitoring terpusat dan penyimpanan log eksternal juga dapat membantu mendeteksi aktivitas yang berupaya menghapus jejak pada perangkat.
Selain itu, setiap hubungan akses antara infrastruktur penyedia layanan dan jaringan pelanggan perlu dievaluasi secara berkala.
Langkah tersebut dapat membantu membatasi dampak apabila salah satu komponen manajemen berhasil dikompromikan.
Silent Train Perlihatkan Evolusi Serangan Siber terhadap Infrastruktur Strategis
Temuan Black Lotus Labs memperlihatkan bagaimana operasi spionase siber semakin mengandalkan infrastruktur yang fleksibel dan sulit dilacak.
Dengan menggunakan Silent Train, Volt Typhoon tidak perlu mempertahankan seluruh jaringan relay dalam kondisi aktif secara permanen.
Perangkat dapat dikompromikan sesuai kebutuhan, dihubungkan untuk menjalankan operasi tertentu, kemudian dibersihkan setelah aktivitas selesai.
Penggunaan infrastruktur hybrid juga memberikan kemampuan mempertahankan akses lebih lama pada sistem enterprise yang memiliki nilai strategis tinggi.
Selama tiga tahun pemantauan, Black Lotus Labs berhasil mengidentifikasi empat kampanye eksploitasi zero-day yang telah dikonfirmasi serta satu kampanye lain yang diduga menggunakan kerentanan serupa.
Fokus terhadap sistem manajemen terpusat memperlihatkan bahwa penyerang tidak selalu perlu mengkompromikan banyak komputer secara individual untuk memperoleh akses luas.
Satu platform dengan hak administratif tinggi dapat membuka jalur menuju ratusan atau bahkan ribuan perangkat yang dikelola.
Meski tidak seluruh tujuan operasional Volt Typhoon dapat dipastikan, konsentrasi target pada sektor telekomunikasi, pertahanan, energi, dan layanan penting Amerika Serikat menunjukkan besarnya risiko yang ditimbulkan.
Bagi administrator dan organisasi, laporan ini menjadi pengingat bahwa keamanan sistem manajemen harus mendapatkan prioritas setara atau bahkan lebih tinggi dibandingkan server aplikasi biasa.
Pembatasan akses internet, penerapan patch, pengawasan aktivitas administratif, serta penyimpanan log terpusat menjadi langkah penting untuk mengurangi risiko serangan serupa.
Dengan kemampuan membangun dan menghapus jaringan relay dalam waktu singkat, Silent Train memperlihatkan bahwa ancaman siber modern tidak hanya bergantung pada kecanggihan exploit, tetapi juga pada bagaimana penyerang menyembunyikan dan mempertahankan akses terhadap infrastruktur yang menjadi target.
Sumber: Lumen Black Lotus Labs — Silent Train: Uncovering Volt Typhoon’s Operational Framework for Zero-Day Exploitation and Strategic Access
