Volt Typhoon'un Gizli Erişim Ağı: Dört Sıfır Gün Kampanyasında Yüzlerce Kurban

Çin bağlantılı siber casusluk grubu Volt Typhoon, yaklaşık üç yıldır kullandığı ve yeni deşifre edilen 'Silent Train' adlı gizli erişim ağı üzerinden dört ayrı sıfır gün kampanyası yürüttü. Lumen Technologies'e bağlı Black Lotus Labs'ın yayımladığı rapora göre ağ, yüzlerce kurbanı hedef alarak ABD'nin savunma, telekomünikasyon ve kritik altyapı ekosistemlerine sızdı.

Rapor, Silent Train'in 2023 sonlarında kurulduğunu ve saldırganların kimlik doğrulaması gerekmeden web sunucularının kontrolünü ele geçirmesine olanak tanıyan açıkları 'talep üzerine' istismar ettiğini gösteriyor. Ağın temel amacı; açık istismarı, kimlik bilgisi toplama, veri sızdırma ve kurban ortamlarına kalıcı erişim sağlama gibi kritik saldırı aşamalarını kolaylaştırmak.

Dört sıfır gün ve bir şüpheli vaka

Black Lotus Labs'ın tespitlerine göre Volt Typhoon, Silent Train üzerinden dört sıfır gün açığını doğruladı. Bunlardan ilki, Versa Director'daki dosya yükleme zafiyeti (CVE-2024-39717) üzerinden özel yapım bir web kabuğu olan VersaMem'i yerleştirerek kimlik bilgilerini toplamayı ve alt müşterilere erişimi hedefliyordu. Diğer üç açık ise N-able N-central'daki güvensiz serileştirme ve komut enjeksiyonu (CVE-2025-8875, CVE-2025-8876), Cisco Catalyst SD-WAN Controller'daki kimlik doğrulama atlatma (CVE-2026-20127) ve Arista VeloCloud Orchestrator'daki işletim sistemi komut enjeksiyonu (CVE-2026-16812) olarak sıralanıyor.

Raporda ayrıca Quest KACE ürününde Ekim 2025'te yamalanan bir açığın da Volt Typhoon tarafından muhtemelen sıfır gün olarak kullanıldığı ve bu kampanyanın 30'dan fazla kurbanı etkilediği belirtiliyor. Grup, daha önce de Versa Director'daki aynı zafiyeti kullanarak VersaMem adlı zararlıyı devreye sokmuştu; bu, Silent Train'in ilk doğrulanmış sıfır gün kampanyası olarak kayıtlara geçti.

Katmanlı, tek kullanımlık altyapı

Silent Train'in belki de en çarpıcı özelliği, kalıcı altyapı yerine kısa ömürlü ve tek kullanımlık zincirlerden oluşması. Black Lotus Labs, ağı 'katmanlı, çok atlamalı bir çerçeve' olarak tanımlıyor. Operatörler, hedefe ulaşmadan önce trafiği üç ayrı katmandan geçiriyor: ABD dışındaki sanal özel sunucular (VPS) geçici hazırlık alanı işlevi görüyor, farklı ülkelerdeki ele geçirilmiş SOHO ve IoT cihazları saldırının başlangıç noktasını gizliyor, ABD içindeki kırılmış cihazlar ise coğrafi kısıtlamaları ve IP itibar listelerini aşmak için çıkış düğümü olarak kullanılıyor.

Black Lotus Labs'ın tespitine göre ağa en az 27 farklı cihaz sınıfı dahil edildi. TP-Link, Intelbras, Ruckus Wireless, NETGEAR, Zyxel ve Cambium gibi tüketici cihazlarının yanı sıra Fortinet, Cisco, PRTG, Mirth Connect ve CyberPanel gibi kurumsal platformlar da istismar edilerek kötü amaçlı ağa katıldı. Ortalama oturum süresi yalnızca dört saat; bazıları birkaç dakika içinde sona eriyor. Operatörler her oturum sonunda geçici SSH hizmetleri, anahtarlar ve konfigürasyon dosyaları dahil tüm izleri temizleyip zinciri söküyor.

Arka plan

Volt Typhoon, en az 2021'den bu yana aktif olan ve özellikle iletişim, enerji, ulaştırma ile su ve atık su sistemleri gibi kritik altyapı ağlarını hedef alan Çin bağlantılı bir devlet destekli grup olarak biliniyor. Silent Train'in kasım 2023'te şekillenmeye başlaması, grubun bağlantılı olduğu KV-botnet'e yönelik ilk engelleme operasyonundan yalnızca birkaç hafta öncesine denk geliyor. Botnet'in Ocak 2024 sonundaki ikinci engellemesinin ardından Silent Train'in faaliyetlerinde belirgin bir artış gözlemlendi; grup kalıcı altyapıdan vazgeçip gerektiğinde yeniden kurulabilen tek kullanımlık cihaz zincirlerine geçti.

Bu geçiş, küresel siber güvenlik ortamında yapay zekâ destekli güvenlik araştırmalarının da öne çıktığı bir döneme denk geliyor. Örneğin Ekim 2026'da PHP programlama dilinde on yılı aşkın süredir fark edilmeyen kritik açıklar yapay zekâ yardımıyla ortaya çıkarılmış, Türkiye Siber Güvenlik Başkanlığı da bunun üzerine ulusal ölçekte güvenlik taraması başlatmıştı. Black Lotus Labs'ın raporu, tehdit aktörlerinin de savunmacılarla aynı hızda evrildiğini, altyapıyı sürekli tazeleyerek iz sürmeyi güçleştirdiğini gösteriyor.

Silent Train'in hedef seçiminde dikkat çeken bir diğer nokta, büyük kurumsal ortamlara geniş görünürlük ve kontrol sağlayabilecek sistemlere öncelik verilmesi. Uç nokta yönetim platformları, ağ yönetim sistemleri, SD-WAN düzenleyicileri ve kontrol düzlemi teknolojileri bu çerçevede öne çıkıyor. Rapora göre yüzlerce kurban arasında telekomünikasyon sağlayıcıları, hükümet kurumları, savunma yüklenicileri, uydu ve görev açısından kritik iletişim hizmetleri, üniversiteler, bilişim firmaları ile su, enerji, ulaştırma, denizcilik, demiryolu, havacılık ve acil durum hizmetleri yer alıyor.

Ne anlama geliyor?

Silent Train'in deşifre edilmesi, devlet destekli siber casuslukta altyapı tasarımının geldiği noktayı göstermesi bakımından önemli. Kalıcı sunucular yerine birkaç dakikalık oturumlar için bile sıfırdan zincir kurulabilmesi, geleneksel tehdit istihbaratı yöntemlerinin yetersiz kalabileceğine işaret ediyor. Black Lotus Labs'ın raporunda vurguladığı gibi, ağın amacı yalnızca bir kerelik sızma değil; stratejik erişimi korumak ve gerektiğinde yeniden etkinleştirmek.

ABD'de Hawaii, Kaliforniya ve Teksas'ın operasyonların odak noktaları olması tesadüf değil; bu eyaletler büyük askeri tesislere, telekomünikasyon altyapısına, savunma yüklenicilerine ve kritik lojistik ağlarına ev sahipliği yapıyor. Rapordaki ifadeyle, kurban profili 'özellikle Hint-Pasifik bölgesindeki gerilim veya kriz dönemlerinde savunma, lojistik, iletişim, askerî ve sivil operasyonları destekleyen kritik ekosistemlere erişimi sürdürme' çabasını yansıtıyor. Bu tablo, sıfır gün açıklarının yalnızca teknik birer kusur değil, jeopolitik rekabette stratejik birer araç olduğunu bir kez daha ortaya koyuyor.

Türkiye açısından bakıldığında, benzer tehditlere karşı hazırlığın kurumsal düzeyde ele alındığı görülüyor. Siber Güvenlik Kurulu'nun 27 Ekim 2026'daki toplantısında Dijital Egemenlik Stratejisi sunulmuş, kritik altyapıların korunması ve ulusal siber dayanıklılığın artırılması stratejik öncelikler arasında sayılmıştı. Bununla birlikte, Volt Typhoon'un kullandığı türden çok katmanlı ve hızla yenilenen altyapılara karşı savunmanın tek başına ulusal koordinasyonla sınırlı kalamayacağı, kurumsal düzeyde sürekli izleme ve hızlı yama süreçlerinin de kritik olacağı anlaşılıyor.