美國通訊與網路服務業者 Lumen Technologies 旗下威脅研究團隊 Black Lotus Labs 於 10 月 28 日發布報告，揭露與中國有關的駭客組織伏特颱風（Volt Typhoon）長期使用的隱蔽存取框架「
Silent Train」。研究人員自 2023 年起追蹤該框架，確認駭客藉此對網路與端點管理平台發動四起零時差（Zero-day）攻擊，另有一起疑似零時差攻擊，並已通知數百個受害單位。
用完即拆的多層跳板
伏特颱風至少自 2021 年起活動，長期鎖定關鍵基礎設施。Lumen 指出，Silent Train 最早於 2023 年 11 月被觀察到，2024 年 1 月下旬 KV-botnet 殭屍網路再度遭執法單位拆除後，活動明顯增加。
與傳統殭屍網路（Botnet）不同，Silent Train 由遭入侵的小型辦公室與家用（SOHO）路由器、物聯網（IoT）設備及企業設備組成。駭客依需求臨時攻陷設備，只用於精選目標。
連線通常從美國境外的虛擬私人伺服器（VPS）發起，串接境外受駭設備後，再由美國境內設備作為出口連向受害者，藉此規避地理封鎖與 IP 信譽過濾。研究人員表示，駭客不到兩分鐘就能組好四至六層的跳板鏈，連線平均約四小時，有些僅持續數分鐘，結束後會移除所有痕跡並拆除整條鏈路。
Lumen 觀察到超過 27 種設備類別被利用，
涵蓋 TP-Link、Netgear 等 SOHO 與 IoT 設備，以及 Fortinet、Cisco 等企業平台。各類設備的角色固定：Intelbras 數據機只充當境外中繼節點，Netgear Orbi 則是在美國境內接觸受害者的跳點。2025 年初起，企業級設備改為保留約一至三個月，使框架演變為混合架構。
四起零時差攻擊鎖定管理平台
Lumen 指出，伏特颱風反覆攻擊端點管理、網路管理與 SD-WAN 協調器等集中式管理平台，因為一旦得手，就能取得大範圍的可視性與管理權限，並連到下游客戶。
已確認的四起零時差攻擊包括：Versa Director（SD-WAN 管理）的檔案上傳漏洞
CVE-2024-39717，2024 年中遭利用；N-able N-central（端點管理）的
CVE-2025-8875 與
CVE-2025-8876，涉及不安全反序列化與命令注入；Cisco Catalyst SD-WAN Controller 的驗證繞過漏洞
CVE-2026-20127，Lumen 指其 CVSS 為 10.0，且在 Cisco 於 2026 年 2 月揭露後仍持續遭利用；以及 Arista VeloCloud Orchestrator（SD-WAN 協調器）的作業系統命令注入漏洞
CVE-2026-16812。
此外，伏特颱風疑似利用 Quest KACE（端點管理）的零時差漏洞，影響逾 30 個受害單位，該漏洞已於 2025 年 10 月修補，Lumen 對此屬中度信心判斷。事後分析發現記憶體內網頁後門程式（Web shell）與憑證竊取行為，部分案例中駭客還刪改日誌。
受害者涵蓋電信與國防
Lumen 表示，受害者包括電信業者、政府、國防承包商、衛星與關鍵通訊業者、大學、IT 業者與託管服務供應商（MSP），以及水利、能源、運輸等關鍵基礎設施。美國境內以夏威夷、加州與德州為主要目標。
Lumen 指出，目標集中的原因尚不明確，但攻擊模式與預先布建存取權限的目的相符，以便在印太區域局勢緊張或發生危機時使用。
防禦建議
Lumen 建議企業採取以下措施：
- 提高管理與控制平面平台的防護，定期檢視權限與下游信任關係
- 縮減網際網路暴露面，僅允許透過 VPN、跳板機或專用管理網路存取管理介面
- 優先修補集中式管理平台的漏洞
- 集中日誌並延長保存期限
- 監控異常管理登入、異常 API 使用與非工作時段的「就地取材」（Living off the Land）活動
本文轉載自 LumenBlackLotus abs 報告、TheHackerNews、BleepingComputer。