要点
- Lumen の研究チーム Black Lotus Labs によると、中国系の攻撃グループ Volt Typhoon は、家庭やオフィスのルーターなどを乗っ取り、攻撃の出どころを隠す中継網として使い捨てていた。
- この中継網を通して、企業のネットワークをまとめて管理する製品の、少なくとも4つの未知の欠陥（ゼロデイ）が攻撃に使われた。
- 踏み台にされた機器には、TP-Link・NETGEAR・Zyxel など家庭や小さなオフィス向けの機器も含まれる。古いルーターを放っておくと、知らないうちに攻撃の片棒を担がされる。
何が起きたか
Lumen Technologies の研究チーム Black Lotus Labs は、Volt Typhoon が使う中継の仕組みを「Silent Train」と名付けて報告を公開した。3年ほど追ってきたという。
Silent Train のねらいは、攻撃の出どころを何重にも隠すことだ。狙われた側に直接つながるのは、米国内で乗っ取られた機器だ。そのため、狙われた側からは米国内から来た通信に見える。その手前には米国外で乗っ取られた機器がいくつも挟まり、いちばん奥には、すぐ借りてすぐ捨てられるサーバー（VPS）がある。経路は1回ごとの使い捨てだ。作業が終わると跡を消して解体し、次はまた組み直す。Black Lotus Labs が見た1回の長さは平均約4時間で、数分のものもあった。
踏み台になった機器は27種類を超える。知られた欠陥の無い機器も含まれていたため、報告は、まだ公表されていない欠陥も使われた可能性を指摘している。名前が挙がったメーカーは、家庭や小さなオフィス向けでは TP-Link、Intelbras、Ruckus、SATO、NETGEAR（Orbi）、Zyxel、Cambium だ。企業向けでは Fortinet（FortiGate）、Cisco、PRTG、Mirth Connect、CyberPanel が挙がった。家庭向けと企業向けでは、使われ方が違う。家庭向けの機器は次々に入れ替えられ、あとから加わった企業向けの機器は、1〜3か月ほど中継に使い続けられた。2025年の初めには、この2つを組み合わせる形になっていたという。
この中継網の先で攻撃されたのは、多くの機器や拠点をまとめて操る管理製品だ。Black Lotus Labs は「少なくとも4件を確認、1件は可能性が高い」としている。
- Versa Director（通信会社などが使うネットワーク管理）
- N-able N-central（IT の管理を請け負う会社が使う遠隔管理）
- Cisco Catalyst SD-WAN（拠点をつなぐネットワークをソフトで管理する仕組み）
- Arista VeloCloud Orchestrator（同じく SD-WAN の管理）
- 可能性が高いとされたもの：Quest KACE（社内 PC の管理）。Quest KACE を狙った攻撃だけで、被害は30を超える組織とされる
狙われたのは、通信、政府、防衛関連、衛星通信、大学、IT 企業、水道・エネルギー・交通などの重要インフラだ。米国ではハワイ、カリフォルニア、テキサスが特に多かった。被害を受けた組織への通知は、3年間で全体として数百件にのぼるという。
日本の利用者への影響
Black Lotus Labs の報告には、日本の組織が被害を受けたという記述は無い。日本の重要インフラが今回の攻撃で狙われたかどうかは、一次情報では確認できない。踏み台のメーカーとして挙がった「SATO」が日本のサトーを指すのかどうかも、報告からは分からない。
踏み台にされたメーカーの機器や、狙われた管理製品が日本でどれだけ使われているかは、報告には書かれていない。報告では、踏み台は「米国外」と「米国内」に分けて使われていた。日本の機器が米国外の中継に使われうるかは、報告からは分からない。
今すぐやること
- 家やオフィスのルーターの型番を確かめる。 メーカーのサイトで、更新が続いている製品かどうかを見る。更新が終わった機種は買い替える。
- ルーターの管理画面をインターネットから見えないようにする。 「遠隔管理」のような設定が要らなければ切る。初期のパスワードのままなら変える。
- ファームウェア（機器の中のソフト）を最新にする。 自動で更新する設定があれば入れておく。
- 会社で Versa Director、N-able N-central、Cisco Catalyst SD-WAN、VeloCloud Orchestrator、Quest KACE を使っているなら、IT の担当に今の版を確かめてもらう。 直った版になっていなければ、すぐに上げる。
- 管理画面に入れる場所を絞る。 Black Lotus Labs は、管理画面をインターネットから直接触れないようにし、VPN や管理専用のネットワークからだけ入れるようにすることを勧めている。ログを長く残し、ふだんと違う管理者の操作がないか見張ることも勧めている。
背景
Volt Typhoon は、少なくとも2021年から活動している。米国の政府は、Volt Typhoon が米国の重要インフラに入り込み、いざというときに妨害できるよう潜んでいると警告してきた。手口の特徴は、マルウェアをあまり使わない点だ。もともと機器にある道具を使い、目立たないように動く。
Volt Typhoon は以前、古いルーターを集めた「KV-botnet」を中継に使っていた。米国の当局はこの網を取り締まり、その後もう一度、取り締まりを行った。それでも Silent Train は止まらなかった。Silent Train が観測され始めたのは2023年11月で、最初の取り締まりより少し前だ。2度目の取り締まりのあとは、かえって動きが増え、使う機器もめまぐるしく変わった（Black Lotus Labs）。中継の網を壊されても、使い捨ての形で続けていたことになる。
管理製品が狙われるのは、そこを乗っ取れば、つながる多くの拠点や顧客をまとめて操れるからだ。
技術者向けの詳細
- 一次情報：Black Lotus Labs「Silent Train」。本文中に IoC（侵入された跡）の一覧は無い。
- 中継の作り：米国外の VPS → 米国外の乗っ取った SOHO/IoT（Intelbras は米国外の中継だけ）→ 米国内の出口（NETGEAR Orbi、FortiGate など）。つないだ SSH の鎖を一時的に使い、後片付けする。後の形では Chisel や FRP による逆向きのトンネルも使われた。報告によると、経路は2分足らずで組めた。
- 悪用されたもの：
- Versa Director：CVE-2024-39717（ファイルのアップロード。VersaMem ウェブシェル。2024年夏に Black Lotus Labs が公表）
- N-able N-central：CVE-2025-8875 / CVE-2025-8876（CVSS 9.4、認証が必要）。2025.3.1 と 2024.6 HF2 で修正。CISA KEV に2025年8月13日に追加
- Cisco Catalyst SD-WAN Controller/Manager：CVE-2026-20127（CVSS 10.0、認証を飛ばせる欠陥）。2026年2月に Cisco が公表。advisory は cisco-sa-sdwan-rpa-EHchtZk。Cisco Talos はこの攻撃を UAT-8616 と呼ぶ。Volt Typhoon と結び付けたのは Black Lotus Labs
- Arista VeloCloud Orchestrator（オンプレミス版）：CVE-2026-16812（CVSS 10.0、認証なしで OS のコマンドを入れられる欠陥）。直った版は 5.2.3.14、6.1.3.4、6.4.2.4、7.0.0.1。2026年7月27日に公表され、同じ日に CISA KEV に追加された（カナダ Cyber Centre AV26-751 などによる）
- Quest KACE：CVE は示されていない。2025年10月の更新のあと、悪用が減った
- Black Lotus Labs が勧める見張り：ふだんと違う管理者のログイン、API の呼び出し、遠隔でのファイルの転送、設定の変更、勤務時間の外に正規の道具が使われていないか。
- Cisco SD-WAN を使っているなら：Cisco の advisory（cisco-sa-sdwan-rpa-EHchtZk）には IoC が載っている。これと照らし合わせる。カナダ Cyber Centre（AL26-004）は、Hunt Guide に沿って侵入の跡を探すよう勧めている。
- 指針：CISA と英国 NCSC の Volt Typhoon についての注意喚起（AA24-038A ほか）。