Badania Black Lotus Labs z firmy Lumen Technologies ujawniły istnienie frameworku Silent Train, używanego przez powiązaną z Chinami grupę Volt Typhoon. Narzędzie to służy do utrzymywania strategicznego dostępu do amerykańskiej infrastruktury krytycznej, w tym sektora energetycznego, wodnego, transportowego i obronnego. Atakujący wykorzystują luki typu zero-day w systemach zarządzania sieciami, SD-WAN oraz platformach kontrolnych.
Mechanizm działania opiera się na wielowarstwowej, wieloskokowej strukturze (multi-hop), która ma na celu utrudnienie atrybucji i wykrycia. Ruch złośliwy jest przekierowywany przez szereg pośredników: od serwerów VPS, przez przejęte urządzenia IoT i SOHO (np. routery TP-Link, Netgear) poza granicami USA, aż po skompromitowane urządzenia znajdujące się już wewnątrz Stanów Zjednoczonych. Dzięki temu ruch wygląda na lokalny i omija filtry reputacji IP.
Grupa wykazuje się dużą dyscypliną operacyjną. Sesje są krótkotrwałe, a po zakończeniu operacji napastnicy usuwają wszelkie ślady, takie złośliwe klucze SSH czy pliki konfiguracyjne. W ostatnim czasie framework ewoluował w model hybrydowy, łącząc krótkotrwałe urządzenia domowe z bardziej stabilnymi, przejętymi platformami klasy korporacyjnej (np. Fortinet, Cisco), które mogą pozostawać aktywne nawet przez trzy miesiące.
