Lumen relie le réseau Silent Train de Volt Typhoon à quatre campagnes d'exploits zero-day
- Lumen indique que Volt Typhoon a utilisé Silent Train dans quatre campagnes zero-day confirmées et une probable.
- Le groupe visait des plateformes de gestion susceptibles de fournir un accès à des milliers d'appareils en aval.
- Silent Train utilisait des chaînes d'appareils compromis à courte durée de vie pour dissimuler les attaques et effacer les preuves.
Les chercheurs de Black Lotus Labs chez Lumen ont révélé que le groupe de piratage lié à la Chine, Volt Typhoon, utilisait un réseau covert appelé Silent Train dans quatre campagnes zero-day confirmées.
Les pirates ont ciblé des plateformes gérant l’ensemble des réseaux, et non pas uniquement des ordinateurs individuels. La compromission d’un seul de ces systèmes pouvait leur donner accès aux réseaux de télécommunications, de défense et d’autres infrastructures critiques.
Les chercheurs ont mis en garde :
« Les systèmes disposant d’une large portée administrative peuvent devenir des portes d’entrée à haute valeur pour l’ensemble de l’organisation et ses clients. »
Un réseau jetable conçu pour disparaître
Silent Train a été conçu pour laisser peu de traces. Ses opérateurs ont relié des routeurs domestiques et de bureau compromis, des appareils connectés et des systèmes d’entreprise afin de mener leurs attaques. Une fois une opération terminée, ils interrompaient ces connexions et effaçaient toute trace de leur activité. Les sessions duraient environ quatre heures en moyenne.
Silent Train a été détecté pour la première fois à la fin de l'année 2023. Son activité s'est intensifiée après que les autorités aient démantelé le KV-botnet initial de Volt Typhoon au début de l'année 2024.
Black Lotus Labs a envoyé des milliers de notifications aux victimes au cours de trois ans. Parmi les secteurs touchés par le groupe de hackers figurent les télécommunications, la défense, les communications par satellite, l’énergie, les transports et le secteur des ressources en eau. Ils ont montré un intérêt particulier pour les cibles situées à Hawaï, au Texas et en Californie.
Quatre campagnes, cinq CVE
Les quatre campagnes confirmées de Silent Train ont ciblé des logiciels utilisés pour gérer l’ensemble des réseaux.
Le premier concernait Versa Director, où la CVE-2024-39717 permettait aux attaquants disposant d'un accès privilégié de télécharger des fichiers malveillants. Versa a divulgué cette faille en août 2024.
En 2025, les attaquants ont ciblé N-able N-central via deux vulnérabilités, CVE-2025-8875 et CVE-2025-8876. Les deux nécessitaient une authentification.
Les campagnes de 2026 impliquaient deux plateformes de gestion SD-WAN. Cisco a divulgué la CVE-2026-20127 le 25 février. Notée 10,0, cette faille permettait aux attaquants d'obtenir des privilèges administratifs sans authentification. Arista a divulgué une autre vulnérabilité notée 10,0, la CVE-2026-16812, affectant VeloCloud Orchestrator le 27 juillet.
Les quatre fournisseurs ont publié des correctifs. Toutefois, Lumen a observé une exploitation continue de la vulnérabilité de Cisco après sa divulgation.
Pourquoi l’accès est l’enjeu
Les activités de Volt Typhoon remontent à au moins mi-2021. Microsoft a identifié publiquement le groupe en mai 2023, signalant des intrusions dans des réseaux d'infrastructures critiques à Guam et sur le continent américain.
La préoccupation va au-delà des informations volées.
Dans une analyse de janvier 2026, John Bruce, chercheur à l'IISS, a observé :
La grande majorité des réseaux ciblés par Volt Typhoon offraient peu de valeur en matière de renseignement étranger pour le gouvernement chinois.
Bruce a pointé du doigt la collecte de diagrammes de réseau et de manuels d’exploitation par le groupe comme preuve de préparatifs en vue d’une éventuelle perturbation. Guam est particulièrement sensible car ses installations militaires seraient cruciales dans un conflit potentiel autour de Taïwan.
Il s’agit toujours d’évaluations des intentions du groupe, et non de preuves d’une attaque ordonnée.
La concentration est l’exposition
Le contexte plus large de la cybersécurité permet de mieux comprendre le danger.
Le rapport 2026 de Verizon, qui couvre plus de 31 000 incidents, a révélé que l'exploitation des vulnérabilités était devenue la principale porte d'entrée vers les organisations. Les intrusions système ont représenté 61 % des violations confirmées.
Lorsque les attaquants compromettent des logiciels gérant plusieurs réseaux, les dégâts potentiels dépassent le cadre d’une seule organisation.
Les implications financières restent incertaines. Le FMI a mis en garde contre les risques cyber croissants auxquels sont confrontés les systèmes financiers interconnectés. Toutefois, aucune perte boursière n'a été directement attribuée à Silent Train.
Parallèlement, Cryptopolitan a signalé une autre vulnérabilité exploitable sur VeloCloud, CVE-2026-114625, notée 9,9 et corrigée le 22 octobre. Elle est distincte de la faille liée par Lumen à Silent Train.
Les esprits les plus brillants du secteur crypto lisent déjà notre newsletter. Vous aussi ? Rejoignez-les.
FAQ
Qu’est-ce que Silent Train ?
Il s'agit d'un réseau clandestin que Lumen's Black Lotus Labs affirme utilisé par Volt Typhoon pour obtenir et maintenir l'accès aux plateformes de gestion, construit sur des chaînes rotatives d'appareils domestiques, IoT et d'entreprise compromis, exploités à la demande et nettoyés après chaque opération.
Quelles vulnérabilités Volt Typhoon a-t-il exploitées ?
Les quatre campagnes sont liées à cinq failles : Versa Director (CVE-2024-39717), N-able N-central (CVE-2025-8875 et CVE-2025-8876), Cisco Catalyst SD-WAN Controller (CVE-2026-20127) et Arista VeloCloud Orchestrator (CVE-2026-16812).
Les correctifs ont-ils arrêté les attaques ?
Tous les quatre éditeurs ont publié des correctifs, mais Lumen indique qu'il a observé l'exploitation de la faille Cisco se poursuivre après sa divulgation initiale le 25 février 2026 ; l'entreprise n'a pas affirmé que les quatre campagnes persistaient au-delà de leurs correctifs.
Avertissement. Les informations fournies ne constituent pas des conseils en matière de trading. Cryptopolitan.com décline toute responsabilité concernant les investissements réalisés sur la base des informations fournies sur cette page. Nous recommandons vivement une recherche indépendante et/ou une consultation avec un professionnel qualifié avant de prendre toute décision d'investissement.
Micah Abiodun
Micah Abiodun met à profit son Master en Ingénierie et Gestion de l'Environnement (MSc) à l'Université de Technologie de Tallinn (TalTech) pour peaufiner ses articles sur les prévisions de prix et l'actualité à Cryptopolitan. Fort de sept années d'expérience dans les médias cryptographiques, il couvre les principales cryptomonnaies, les altcoins, la finance décentralisée (DeFi), les stablecoins, les tendances macroéconomiques et les technologies émergentes.
