Volt Typhoon : le réseau Silent Train et quatre failles zero-day

Black Lotus Labs, la division de recherche en menaces de Lumen Technologies, a publié le 28 octobre 2026 un rapport selon lequel le groupe chinois Volt Typhoon a exploité au moins quatre failles zero-day, c'est-à-dire inconnues de l'éditeur au moment des attaques, en dissimulant son origine derrière un réseau de relais baptisé « Silent Train ».

Qu'est-ce que Silent Train ?

Silent Train est une infrastructure de relais bâtie sur des équipements piratés. D'après BleepingComputer, les opérateurs passent par des serveurs privés virtuels hors des États-Unis, puis par des routeurs et objets connectés compromis servant de sauts intermédiaires. Des modems Intelbras ont servi de relais à l'étranger, des routeurs Netgear Orbi de points de sortie aux États-Unis. Le nom traduit la méthode : l'outil est déployé contre des cibles choisies, retiré après chaque opération et sans cesse renouvelé.

The Hacker News précise que le dispositif a été identifié fin 2023, à l'époque de la première neutralisation du botnet KV par le FBI. Les sessions duraient en moyenne environ quatre heures et les opérateurs effaçaient leurs traces ensuite. Début 2025, le réseau est devenu hybride : des systèmes d'entreprise compromis étaient conservés un à trois mois.

Quelles failles zero-day Volt Typhoon a-t-il exploitées ?

Selon The Hacker News, les quatre campagnes visent des plateformes de gestion centralisée :

• Versa Director (CVE-2024-39717), une faille de téléversement de fichier ;

• N-able N-central (CVE-2025-8875 et CVE-2025-8876), désérialisation non sécurisée et injection de commandes ;

• Cisco Catalyst SD-WAN (CVE-2026-20127), un contournement d'authentification ;

• VeloCloud Orchestrator (CVE-2026-16812), une injection de commandes système.

Le groupe est aussi soupçonné d'avoir exploité une faille probablement zero-day dans Quest KACE avant son correctif d'octobre 2025, avec plus de 30 victimes selon The Hacker News. Compromettre ces outils donne un accès administrateur large et, souvent, une porte vers les clients de l'entreprise visée, sans mouvements latéraux bruyants.

Qui est visé ?

Black Lotus Labs parle de centaines de victimes dans les télécoms, les administrations, les sous-traitants de la défense, les communications par satellite, les universités, les sociétés informatiques et les infrastructures critiques : eau, énergie, transport, aviation, secours. Aux États-Unis, la Californie, le Texas et Hawaï sont les plus touchés, ce que les chercheurs rattachent à des enjeux indo-pacifiques. Au moins 27 familles d'équipements ont été exploitées, dont TP-Link, Netgear, Zyxel, Fortinet et Cisco.

Ces éléments sont l'analyse d'un éditeur de sécurité, rapportée par la presse : l'attribution à un État reste une évaluation, pas un verdict judiciaire, et les deux articles divergent légèrement sur le comptage des failles et sur la durée moyenne des sessions.

Que doivent faire les équipes de sécurité ?

BleepingComputer relaie les recommandations des chercheurs : protéger les systèmes d'administration centralisée, couper leur exposition à Internet, corriger vite, centraliser les journaux avec une rétention plus longue, surveiller les activités d'administration inhabituelles et revoir les connexions de confiance vers les réseaux de clients ou partenaires. Les équipements d'extrémité de réseau et les routeurs grand public sont désormais des maillons de la chaîne d'attaque, pas seulement des cibles.

Source

• BleepingComputer, d'après Black Lotus Labs (Lumen)

• The Hacker News