【ITニュース解説】Volt Typhoon's Silent Train Network Hid Four Zero-Day Campaigns Against Management Planes

Volt Typhoonというサイバー攻撃グループが、世界中の企業や政府機関のシステムを管理する重要なソフトウェアに、これまで知られていない脆弱性（ゼロデイ脆弱性）を悪用した大規模な攻撃を仕掛けていたことが明らかになった。この攻撃は「Silent Train」と名付けられた特殊なネットワークを通じて実行され、現在は無力化されたと報告されている。多数の通信事業者、政府機関、防衛関連企業、そして水や電力といった重要インフラに関わる組織がこの攻撃の標的となり、数百もの被害が確認された。

Volt Typhoonは、中国と関連があるとされる高度なサイバー攻撃グループである。彼らは以前から様々な組織への攻撃を行ってきたが、今回のSilent Trainは特に巧妙な手法を用いていた。Silent Trainは、攻撃者が自身の正体を隠し、標的のシステムへ侵入するために構築された、多層的な中継ネットワークのことである。このネットワークは、「Entry（入り口）」「Obfuscation（難読化）」「Exit（出口）」という三つの段階で構成されていた。まず、攻撃者は米国外にある一時的な仮想プライベートサーバー（VPS）を「Entry」として利用し、セッションが終了するとすぐに破棄していた。次に、世界中の様々な国やプロバイダーに散らばる、乗っ取られたSOHO（Small Office/Home Office）ルーターやIoTデバイスを「Obfuscation」層として使い、通信経路を複雑にすることで攻撃元の特定を困難にしていた。そして最終的に、米国内にある乗っ取られたデバイスを「Exit」として利用し、標的となる米国内の組織へとアクセスしていた。これにより、地理的な制限や、悪意のあるIPアドレスをブロックする仕組みを回避できるよう設計されていた。

このSilent Trainの運用は、従来のサイバー攻撃とは一線を画す「Discipline Over Persistence（持続性よりも規律）」という特徴を持っていた。これは、永続的に稼働するボットネット（乗っ取られた大量のコンピューターのネットワーク）とは異なり、攻撃者は必要に応じてデバイスを乗っ取り、一時的なSSHアクセスサービスや鍵、設定ファイルといった最小限のツールを展開し、セッションが終了するとそれらを全て除去するという運用を徹底していた。つまり、各攻撃チェーンは実質的に使い捨てであり、永続的なコマンド＆コントロール（C2）サーバーも存在しなかったため、防御側が攻撃の痕跡を特定したり、未来の攻撃を予測したりすることが極めて困難であった。このような手法への移行は、以前Volt Typhoonが利用していたKV-botnetというIoTボットネットが、防御側の手によって無力化されたことへの直接的な対応であると見られている。攻撃者は、永続的なインフラが破壊されるリスクを回避するために、このような「使い捨て」のインフラを迅速に構築・再構築する能力を持つに至ったのだ。

Volt Typhoonが特に狙ったのは、「管理プレーン」と呼ばれるシステム群であった。管理プレーンとは、ネットワーク機器、サーバー、エンドポイント（パソコンやスマートフォンなど）といった複数のIT資産を一元的に監視・制御するためのソフトウェアやプラットフォームのことである。例えば、SD-WANコントローラー、ネットワーク管理システム、リモート監視・管理（RMM）プラットフォームなどがこれに該当する。これらの管理プレーンが一度乗っ取られると、攻撃者はその管理下にある膨大な数のデバイスやシステム、さらには顧客の情報にまでアクセスし、広範な可視性と制御権を手に入れることができる。サービスプロバイダーの場合、管理プレーンを侵害することで、そのプロバイダーがサービスを提供する多数の顧客にも影響が及ぶ可能性がある。攻撃者にとって、これほど効率的に広範囲のアクセスを得られる標的は他になかったのだ。

今回の攻撃で利用されたゼロデイ脆弱性は、具体的な製品に対して複数確認されている。 Versa Directorでは、ファイルアップロードの脆弱性（CVE-2024-39717）が悪用された。これは、攻撃者が不適切なファイルをアップロードすることで、システムに悪意のあるコードを実行させることを可能にするものだった。 N-able N-centralというリモート監視・管理プラットフォームでは、安全でないデシリアライゼーションとコマンドインジェクションの脆弱性（CVE-2025-8875およびCVE-2025-8876）が発見された。これにより、攻撃者は遠隔からシステムに対して任意のコマンドを実行できてしまう。 Cisco Catalyst SD-WAN Controllerでは、認証バイパスの脆弱性（CVE-2026-20127）が悪用された。これは、正規の認証手続きを経ずにシステムにアクセスできてしまうというもので、非常に危険である。 Arista VeloCloud Orchestratorでは、オペレーティングシステム（OS）コマンドインジェクションの脆弱性（CVE-2026-16812）が利用された。これもN-ableと同様に、攻撃者がOSに対して任意のコマンドを実行できる脆弱性である。 さらに、Quest KACEの製品にも、パッチが適用される前のゼロデイ脆弱性が悪用された可能性が高いと報告されており、この攻撃だけでも30以上の被害組織が確認されている。

このような事態は、システムエンジニアを目指す初心者にとっても重要な教訓となる。まず、ソフトウェアに脆弱性が発見され、ベンダーからパッチが提供された場合は、迅速に適用することが最も基本的な防御策である。今回の攻撃で悪用された脆弱性に対するベンダーパッチは全て提供されているため、使用しているシステムに適用されているか必ず確認すべきである。次に、エンドポイント管理、SD-WAN、オーケストレーションプラットフォームといった管理系のシステムは、攻撃者にとって最も価値の高い標的となるため、特に厳重なセキュリティ対策を講じる必要がある。多要素認証の導入、ネットワークの分離、最小限のアクセス権限の付与、そして厳格なアクセス制御は必須である。

また、今回のSilent Trainの事例は、従来のインフラベースの検出手法、つまり悪意のあるIPアドレスのブロックリストや地理的なフィルターだけでは、巧妙な攻撃を防ぎきれないことを示している。攻撃者は、米国内の乗っ取られたデバイスを最後の経由地として利用し、セッションが終了すると痕跡を消すため、外部からの情報だけでは攻撃を見つけることが非常に困難になる。そのため、システム内部の可視性を高めることが極めて重要となる。管理プラットフォームにおける認証イベント、設定変更、新しい管理アカウントの作成、予期せぬファイルの書き込み、そして外部への不審な接続などを詳細に監視し、異常を早期に発見できる体制を構築することが求められる。Volt TyphoonによるSilent Trainは無力化されたものの、彼らが確立した攻撃手法は有効性が証明されており、今後も新たなインフラで同様の手口が再出現する可能性が高い。システムを安全に保つためには、常に最新の脅威動向を把握し、自らのセキュリティ対策を継続的に見直していく必要がある。