מה שמשך את העין בהתחלה היה דווקא משהו משעמם: שרשראות של חיבורי SSH שעברו דרך מכשירים שאין להם שום סיבה לדבר זה עם זה. נתב ביתי של יצרן זול, שרת וירטואלי בענן סיני, מודם במדינה שלישית, וכולם מעבירים ביניהם תעבורה כמה שעות ואז מתנקים ונעלמים. חוקרי Black Lotus Labs של Lumen פרסמו ב-28 באוקטובר את מה שיצא מהחקירה הזאת: מסגרת תפעולית שלמה שהם קוראים לה Silent Train, שדרכה פועלת Volt Typhoon, קבוצת הריגול הסינית שמתמחה בהשגת דריסת רגל ברשתות תשתית אמריקאיות.

והנה מה שהופך את הדו"ח למעניין יותר מעוד מיפוי תשתית: לא הקורבנות הובילו לחולשות, אלא רשת הממסרים. שלוש שנים של מעקב אחרי המכשירים שדרכם התוקפים מתחברים הן שחשפו ארבע חולשות יום-אפס מאושרות ועוד אחת בסבירות בינונית, כולן במערכות ניהול מרכזיות, ואיפשרו מאות הודעות לקורבנות לפני שהיצרנים ידעו שיש בעיה. בהמשך נראה איך נראית שרשרת אחת כזאת, למה היא נבנית ונמחקת בתוך שעות, ולמה דווקא פלטפורמות הניהול הן המטרה.

מה קרה אחרי שהבוטנט הקודם הושמד

בסוף 2023 ספגה Volt Typhoon מכה. Black Lotus Labs איתרה בוטנט שכינתה KV-botnet, עבדה עם רשויות אמריקאיות, ושיבשה אלפי נתבים פרוצים ששימשו להסתרת פעילות התקיפה. זאת הייתה הצלחה אמיתית, אבל לפי הדו"ח היא אחרה את המועד: הקבוצה כבר בנתה תחליף.

הפעילות הראשונה והעקבית של Silent Train נצפתה בנובמבר 2023, עוד לפני ההשמדה הראשונה של הבוטנט. אחרי גל השיבוש השני הפעילות רק גברה, עם החלפות מהירות של סוגי מכשירים ושל מדינות. וההבדל בין שתי הגישות הוא כל הסיפור. בוטנט קלאסי מחזיק רשת קבועה של מכשירים נגועים שמדברים עם שרת שליטה ובקרה (C2, השרת שדרכו התוקף שולח פקודות), וזה בדיוק מה שמאפשר למגנים למצוא אותו: תבנית חוזרת. Silent Train לא מחזיקה כלום באופן קבוע. היא מורכבת לפי הצורך ומפורקת בסוף.

איך נראית שרשרת אחת מבפנים

הרעיון עצמו פשוט. במקום להתחבר ישירות אל הקורבן, התוקף מעביר את החיבור דרך כמה מכשירים פרוצים בדרך, כך שמה שהקורבן רואה זה את הכתובת של הקפיצה האחרונה ולא את שלו. לארכיטקטורה הזאת יש ב-Silent Train ארבע שכבות, ולכל אחת תפקיד נפרד.

השכבה הראשונה היא שרת וירטואלי (VPS) מחוץ לארצות הברית, שמוקם במהירות ונזרק בסוף הפעילות. אחריו שרת וירטואלי שני, אצל ספק אחר ובמדינה אחרת, שמרחיק עוד שלב את המפעיל. השכבה השלישית היא מכשירי SOHO ו-IoT פרוצים מחוץ לארצות הברית, נתבים ומודמים ביתיים שמפזרים את התעבורה בין מדינות, ספקים וחומרות. והשכבה הרביעית היא מכשירים פרוצים בתוך ארצות הברית, שמשמשים נקודת יציאה מקומית אל הקורבן. הסיבה מעשית לגמרי: תעבורה שמגיעה מכתובת אמריקאית עוברת מתחת לחסימות גאוגרפיות ולמסנני מוניטין IP שהיו עוצרים אותה אחרת.

בפועל מדובר בארבע קפיצות בממוצע לפני הכניסה למרחב הכתובות האמריקאי, ועוד קפיצה לפני הקורבן. בשלב מסוים הגיעו שרשראות של שש קפיצות. החוקרים סופרים יותר מ-27 סוגי מכשירים שנוצלו לטובת הרשת, ממכשירים ביתיים כמו נתבי TP-Link, Netgear Orbi, מודמים של Intelbras וציוד של Ruckus, SATO, Zyxel ו-Cambium, ועד פלטפורמות ארגוניות כמו Fortinet, Cisco, PRTG, Mirth Connect ושרתי CyberPanel. חלק מסוגי המכשירים שמשמשים ממסר הם דגמים שאין להם בכלל חולשה ידועה, ומכאן ההשערה בדו"ח: Volt Typhoon שרפה חולשות יום-אפס לא מפורסמות רק כדי להקים קפיצה אחת בשרשרת. זה מלמד משהו על התקציב.

לצד שרשור ה-SSH הקלאסי נכנסו בהדרגה גם מנהרות הפוכות, שבהן המכשיר הנגוע הוא זה שפותח את החיבור כלפי התשתית של התוקף במקום לחכות לחיבור נכנס, בעזרת כלי קוד פתוח כמו Chisel ו-FRP. הדו"ח מביא דוגמאות מוחשיות: מנהרת Chisel ב-TCP 8999 בין נתב ל-VPS בענן של Huawei, SSH בפורטים 22 ו-8103 בקפיצה שלפניה, ו-HTTPS 8443 יחד עם SSH בפורט 14737 בכניסה לנתב האמריקאי שלפני הקורבן. המנהרות ההפוכות לא החליפו את השיטה הקודמת. שתיהן, ועוד שני וריאנטים, רצו במקביל.

ארבע שעות, ואז אין ממה לדגום

כאן מגיע החלק שהחוקרים מתייחסים אליו כמאפיין הבולט של הרשת, והוא לא טכנולוגי אלא מבצעי. מפעילי Silent Train מנצלים ממשקי ווב חשופים של מכשירי הממסר, מתקינים עליהם רק את המינימום שנדרש כדי להעביר דרכם SSH (שירות SSH זמני, מפתחות, קובצי הגדרות וכלים שכבר קיימים על המכשיר), עושים את העבודה, ומוחקים הכול. את מכשירי ה-SOHO הם אפילו מחזירים למצב שבו היו לפני הפריצה.

והמספרים כאן חדים. הרכבת שרשרת שלמה של מכשירים לקחה לפי הדו"ח פחות משתי דקות, מה שמעיד על תהליך הקמה אוטומטי למחצה ולפי דרישה. סשן ממוצע ארך כארבע שעות, וחלק נמשכו דקות בודדות. (שווה לציין שכתובית התרשים בדו"ח עצמו אומרת שרוב הסשנים נמשכו שמונה עד עשר שעות, בניגוד לממוצע שמופיע בגוף הטקסט, וזה פער ש-Lumen לא מיישבת.) בכל סשן נגעו התוקפים בין קורבן אחד לחמישה, ולרוב בארגון אחד בלבד.

ומעבר למחיקה, יש בארכיטקטורה עוד החלטה שמקשה על חקירה. סוגי מכשירים קיבלו תפקיד קבוע בשרשרת, ולא חרגו ממנו לאורך שלוש שנות המעקב: מודמים של Intelbras הופיעו תמיד ורק כממסר מחוץ לארצות הברית, ומכשירי Netgear Orbi שימשו תמיד כקפיצה האמריקאית שנוגעת בקורבן. גם השרתים הווירטואליים פוזרו בין ספקים ואזורים שונים במקום לשבת באותה סביבה. ההיגיון ברור: מי שישים יד על מכשיר אחד מהשרשרת, או על ספק אחד, לא יקבל איתו את שאר הרשת.

אז למה דווקא פלטפורמות הניהול?

כל חמשת הקמפיינים שהדו"ח מפרט מכוונים לאותו סוג יעד, ולא במקרה. תוקף שנכנס לרשת ארגונית צריך לנוע בה, לזהות מי המנהלים, לאתר את המערכות החשובות ולבנות כמה אחיזות עד שיש לו תמונה. פלטפורמת ניהול מרכזית, בין שהיא מנהלת endpoint-ים, רשת או SD-WAN, כבר מחזיקה את כל אלה: הרשאות מנהל, רשימת הנכסים, ושליטה מרחוק על מאות ואלפי מכשירים, לפעמים גם אצל לקוחות של הארגון. פריצה אחת מחליפה תנועה רוחבית שלמה, ובדרך היא מייצרת פחות אירועי אימות ופחות שאריות לחקירה. בניתוחים שלאחר האירוע נמצאו webshell-ים שרצים בזיכרון בלבד, חילוץ פרטי אימות, ושימוש ביכולות המובנות של הפלטפורמה לשליטה במכשירים ולהעברת קבצים. בכמה מהמקרים הם גם מחקו או שינו לוגים.

הרשימה עצמה: ב-Quest KACE, מערכת לניהול endpoint-ים ונכסי IT, נפגעו יותר מ-30 ארגונים. הלוגים שנותרו לא הספיקו כדי לזהות את החולשה, ולכן ההערכה שמדובר ביום-אפס היא ברמת ביטחון בינונית; הפעילות דעכה אחרי עדכוני האבטחה של Quest באוקטובר 2025. מעניין מה התוקף עשה שם: הוא נשאר על שרת ה-KACE ולא זז הלאה, והשתמש בהרשאות הניהול של המערכת עצמה כדי לאסוף ולהוציא פרטי אימות. ב-Versa Director, שאת ניצולה תיעדה Black Lotus Labs עוד באוגוסט 2024, הושתל webshell בשם VersaMem שרץ בזיכרון בלבד ולא נגע בקבצים על הדיסק. החולשה, CVE-2024-39717, נכנסה לקטלוג הניצול הפעיל של CISA ב-23 באוגוסט 2024. ב-N-able N-central נוצלה שרשרת של שתי חולשות שלא היו מפורסמות, CVE-2025-8875 ו-CVE-2025-8876, שנכנסו לקטלוג של CISA ב-13 באוגוסט 2025; כאן יש פער ציונים ששווה לשים אליו לב: היצרן דירג את שתיהן 9.4 בסולם CVSS v4, ואילו NVD נתנה להן 7.8 ו-8.8 ב-v3.1.

שתי המערכות האחרונות הן בקרי SD-WAN, והציון שם מושלם. ב-Cisco Catalyst SD-WAN נוצלה CVE-2026-20127 בציון 10.0, עקיפת אימות במנגנון ה-peering שבין רכיבי הבקרה, והניצול נמשך היטב אחרי שסיסקו פרסמה את החולשה בפברואר 2026. ב-VeloCloud Orchestrator, הפלטפורמה השלישית מסוג SD-WAN שהקבוצה תקפה, נוצלה CVE-2026-16812, גם היא 10.0, שקיבלה מזהה רק בדיעבד ונכנסה לקטלוג של CISA ב-27 ביולי 2026.

מי נפגע, ומתי עבדו המפעילים

הקורבנות שהדו"ח מונה: ספקי תקשורת, רשתות ממשלתיות אמריקאיות, קבלני ביטחון וגופי התעשייה הביטחונית, ספקי תקשורת לווינית ותקשורת חיונית, ספקי שירותי IT מנוהלים (MSP), אוניברסיטאות עם זיקה לביטחון, וארגוני תשתית קריטית בתחומי מים, אנרגיה, תחבורה, רכבות, תעופה ושירותי חירום. מה שמשותף להם הוא לא הסקטור אלא המיקום: כל אחד מחזיק גישה אל רשתות, לקוחות או שירותים אחרים.

גם הגאוגרפיה מדברת. הוואי, קליפורניה וטקסס חזרו ועלו כמוקדי התקיפה בין נובמבר 2023 ליולי 2026, שלוש מדינות שמרכזות בסיסים צבאיים, תשתית תקשורת, קבלני ביטחון ולוגיסטיקה. Black Lotus Labs נזהרת כאן ואומרת שהסיבה לריכוז הזה לא ברורה, אבל שהתבנית מתיישבת עם הצבת גישה מראש במערכות שיהיו חיוניות בזמן מתיחות או משבר באזור האינדו-פסיפי.

ויש עוד נתון שמגלה משהו על מי שבצד השני. הפעילות התרכזה בימים שני עד שישי, בעיקר בין 09:00 ל-22:00 שעון סין, כמעט בלי לילות וסופי שבוע, עם צניחות של שבועות שלמים סביב ראש השנה הסיני. השיאים בשלוש נקודות ביום, לפני הצהריים, אחר הצהריים ובערב, מתאימים לפי הדו"ח למשמרות בסגנון צבאי. במילים אחרות, לא אוטומציה. אנשים שבאים לעבודה.

מה שהדו"ח לא אומר הוא שהרשת מתה. Lumen כותבת שעקבה אחרי Silent Train ו"שיבשה אותה בשקט" לאורך שלוש שנים, אבל מסיימת בלשון הווה, ומתארת מסגרת שממשיכה לשרת את Volt Typhoon בהשגת גישה מתמשכת לרשתות אמריקאיות קריטיות.

מה זה אומר בפועל

המוצרים שברשימה הזאת לא נדירים בחדרי השרתים בישראל: Fortinet, בקרי SD-WAN, VeloCloud, N-central אצל ספקי שירות מנוהל, PRTG לניטור. אם אחת מהמערכות האלה אצלכם חשופה לאינטרנט, היא קודמת בתור העדכונים לכל שרת אפליקציה, כי החולשות שתוארו כאן הן בדיוק המקום שבו פריצה אחת שווה לרשת שלמה. ההמלצה שהחוקרים מדגישים היא לצמצם את החשיפה החוצה, להדק את בקרות הגישה למערכות הניהול, ולשמור את הלוגים במקום שאינו הפלטפורמה עצמה, מהסיבה הפשוטה שבכמה מהמקרים התוקפים מחקו את הלוגים שהיו שם. ומי שמנהל נתבים ומכשירי IoT עם ממשק ווב פתוח לאינטרנט, גם בלי קשר לריגול מדיני, צריך להניח שהם מועמדים לשמש קפיצה בשרשרת של מישהו.