Black Lotus Labs заметила устойчивую активность Silent Train в ноябре 2023 года, незадолго до разгрома ботнета KV. Вместо постоянной инфраструктуры Volt Typhoon собирала временные маршруты из роутеров, устройств интернета вещей и корпоративного оборудования.
Цепочка начиналась с арендованных серверов за пределами США и включала до шести переходов через заражённые устройства. Последний узел находился в американской сети, поэтому трафик к жертве выглядел как внутренний и обходил геоблокировки.
Специалисты подтвердили четыре кампании с эксплуатацией zero-day в системах управления Versa Director, N-able N-central, Cisco Catalyst SD-WAN и VeloCloud Orchestrator. Через такие платформы атакующие получали доступ к множеству подключённых устройств и клиентских сетей, не продвигаясь по инфраструктуре обычным способом.
