Le groupe chinois Volt Typhoon déploie un réseau furtif d exploitation de failles zero-day

Des chercheurs en cybersécurité ont mis au jour une infrastructure d’attaque sophistiquée utilisée par Volt Typhoon, un groupe d’espionnage lié à la Chine, pour mener des campagnes d’exploitation de vulnérabilités zero-day contre des cibles à haute valeur ajoutée. Baptisé Silent Train, ce cadre opérationnel repose sur des chaînes rotatives de périphériques compromis, routeurs SOHO, objets connectés, équipements d’entreprise, que les opérateurs activent à la demande, effacent après chaque opération, et renouvellent en continu.

Lumen Technologies, via sa division Black Lotus Labs, suit cette infrastructure depuis trois ans. Les analystes confirment que Volt Typhoon a exploité au moins quatre failles zero-day distinctes pour cibler des équipements en périphérie de réseau et des interfaces de gestion. Les secteurs visés incluent les télécommunications, les administrations, les sous-traitants de la défense, l’enseignement supérieur, les services publics critiques, les opérateurs satellites, les prestataires informatiques, les MSP, le transport, l’aviation et les services d’urgence. Géographiquement, la Californie, le Texas et Hawaï concentrent l’essentiel des victimes, ce qui suggère un intérêt stratégique pour la zone indo-pacifique.

Silent Train fonctionne comme un réseau de relais. Les opérateurs font transiter leur activité par des serveurs VPS situés hors des États-Unis, puis la font rebondir sur des équipements piratés, routeurs principalement, qui masquent l’origine réelle des attaques. Cette architecture permet au groupe de maintenir un accès persistant tout en limitant son exposition. Le démantèlement partiel du botnet KV-Botnet par le FBI, que Volt Typhoon utilisait auparavant pour brouiller ses pistes, a probablement accéléré le déploiement de cette nouvelle infrastructure.

L’agence américaine CISA avait déjà averti que Volt Typhoon cherchait à s’implanter durablement dans les infrastructures critiques, communications, énergie, transport, eau, en vue d’une perturbation éventuelle en période de crise ou de conflit. La découverte de Silent Train confirme cette intention et révèle une capacité d’adaptation remarquable : face à la perturbation de ses outils habituels, le groupe a su reconstruire une chaîne d’attaque plus résiliente, modulaire et difficile à attribuer.

Cette évolution illustre une tendance plus large dans l’espionnage d’État : l’abandon progressif des infrastructures fixes au profit de réseaux éphémères, reconstitués à la volée à partir d’équipements légitimes compromis. Pour les défenseurs, la détection ne repose plus sur l’identification d’adresses IP malveillantes stables, mais sur l’analyse comportementale de flux anormaux traversant des équipements de bord de réseau. La sécurisation des interfaces de gestion exposées sur Internet, le durcissement des périphériques SOHO et IoT, et la surveillance des chaînes de connexions inhabituelles deviennent des priorités opérationnelles.

Sources : The Hacker News, BleepingComputer