Des recherches récentes publiées par Black Lotus Labs, la division de recherche en sécurité de Lumen, ont révélé l'utilisation par le groupe de cybercriminalité chinois connu sous le nom de Volt Typhoon d'un framework technique sophistiqué appelé Silent Train. Ce framework vise à masquer l'origine des cyberattaques ciblant des systèmes à haute valeur, y compris l'exploitation de vulnérabilités zero-day dans les infrastructures de gestion et de réseau.
Fonctionnement de Silent Train
Le framework Silent Train s'appuie sur un réseau de relais (Relay Network) composé d'appareils connectés compromis qui sont constamment renouvelés. Les attaquants acheminent leur activité via des serveurs virtuels privés (VPS) situés en dehors des États-Unis, puis la font passer par des appareils intermédiaires tels que des routeurs avant de lancer l'attaque finale. Il est à noter que les attaquants nettoient leurs outils, leurs clés d'accès et leurs fichiers de configuration après chaque opération, qui dure généralement moins de 8 heures, rendant leur traçabilité extrêmement difficile.
Pourquoi cette nouvelle est importante ?
Cette évolution marque un changement dans les tactiques de Volt Typhoon après le démantèlement de leur précédent botnet (KV-Botnet) par le Federal Bureau of Investigation (FBI). Les attaquants se concentrent désormais sur l'exploitation de failles dans des plateformes de gestion sensibles, ce qui leur confère un large contrôle administratif sans nécessiter de mouvements latéraux bruyants au sein du réseau qui pourraient mener à leur découverte. Les cibles comprennent des secteurs vitaux tels que les télécommunications, l'énergie, les transports et les institutions gouvernementales, avec une concentration géographique marquée sur des régions des États-Unis liées aux affaires régionales dans l'Indo-Pacifique.
Vulnérabilités ciblées
Les chercheurs ont pu observer l'exploitation de failles zero-day dans plusieurs produits technologiques, notamment :
- VeloCloud Orchestrator (CVE-2026-16812)
- Cisco Catalyst SD-WAN (CVE-2026-20127)
- N-able N-central (CVE-2025-8875 et CVE-2025-8876)
- Versa Director (CVE-2024-39717)
Recommandations de sécurité
Les experts conseillent de renforcer la sécurité des systèmes de gestion centralisée, de restreindre l'accès par Internet aux interfaces d'administration et de patcher rapidement les vulnérabilités de sécurité. Il est également souligné la nécessité de centraliser les journaux (logs) tout en les conservant sur des périodes plus longues, de surveiller toute activité administrative inhabituelle et de revoir les connexions de confiance qui pourraient exposer les réseaux de partenaires ou de clients.