Une infrastructure furtive au service de l’accès stratégique
Les informations publiées le 28 octobre 2026 déplacent le centre de gravité du dossier Volt Typhoon. Il ne s’agit plus seulement d’intrusions dans des réseaux critiques américains, mais du mécanisme qui a permis au groupe de les atteindre discrètement. Black Lotus Labs, l’équipe de recherche de Lumen Technologies, affirme que Volt Typhoon a exploité un cadre d’accès clandestin nommé Silent Train, composé de chaînes de routeurs SOHO, d’objets connectés et de systèmes d’entreprise compromis . The Hacker News a rapporté que ce dispositif avait servi à l’exploitation de vulnérabilités zero-day et à la conservation d’accès stratégiques .
Silent Train ne ressemble pas à un botnet classique, avec une infrastructure stable et des nœuds persistants. Lumen le décrit comme un cadre opérationnel assemblé à la demande, utilisé contre des cibles sélectionnées, nettoyé après chaque opération puis reconstruit . Cette caractéristique est centrale: les équipes de défense recherchent souvent des adresses IP récurrentes, des relais durables, des implants persistants ou des schémas de commande et contrôle reconnaissables. Silent Train a été conçu pour priver les enquêteurs de ces repères.
Le calendrier est également révélateur. Lumen indique avoir observé une activité cohérente de Silent Train dès novembre 2023, peu avant les perturbations visant KV-botnet, une autre infrastructure clandestine associée à des acteurs étatiques liés à la Chine . Les publications actuelles expliquent que l’exposition publique et les efforts de perturbation en 2026 sont le résultat de plusieurs années de suivi, de notifications aux victimes et d’enquêtes de réponse à incident , .
Quatre campagnes zero-day confirmées et un cas probable
Le point le plus important concerne les vulnérabilités zero-day. Black Lotus Labs affirme que son suivi de Silent Train a permis d’identifier une campagne probable et quatre campagnes confirmées visant des plateformes de gestion des terminaux, des orchestrateurs SD-WAN, des systèmes de gestion réseau et d’autres technologies de plan de contrôle . Les campagnes confirmées concernent Versa Director, N-able N-central, Cisco Catalyst SD-WAN et Arista VeloCloud Orchestrator; Quest KACE est présenté comme un cas probable, évalué avec une confiance modérée , .
Les vulnérabilités citées incluent CVE-2024-39717 dans Versa Director, CVE-2025-8875 et CVE-2025-8876 dans N-able N-central, CVE-2026-20127 dans Cisco Catalyst SD-WAN Controller et CVE-2026-16812 dans Arista VeloCloud Orchestrator , . BleepingComputer a rapporté que l’observation de Silent Train avait permis aux chercheurs de suivre l’exploitation de ces produits, tout en considérant Quest KACE comme un cinquième cas suspect .
Ces cibles ne sont pas de simples équipements de bordure. Ce sont des plateformes conçues pour administrer des réseaux, des terminaux, des déploiements SD-WAN ou des environnements clients. Une fois compromises, elles peuvent fournir une visibilité et un contrôle considérables sans nécessiter un déplacement latéral bruyant dans tout le réseau interne. Lumen insiste sur ce point: Volt Typhoon a ciblé à plusieurs reprises des systèmes disposant déjà de privilèges étendus . C’est ce qui donne à ces campagnes leur portée stratégique.
Comment Silent Train masquait les opérateurs
L’architecture de Silent Train reposait sur plusieurs couches. Selon The Hacker News, les sessions commençaient depuis des serveurs privés virtuels situés hors des États-Unis, transitaient par des équipements SOHO ou IoT compromis à l’étranger, puis passaient par des équipements compromis aux États-Unis avant d’atteindre les cibles américaines . Ce schéma permettait de masquer l’origine de l’activité, de contourner certains contrôles géographiques et de faire apparaître le trafic comme plus local ou moins suspect .
CyberScoop a rapporté que Black Lotus Labs avait observé des chaînes d’infrastructure assemblées en moins de deux minutes, avec des sessions durant environ quatre heures en moyenne et accompagnées d’un nettoyage poussé . BleepingComputer décrit lui aussi un modèle dans lequel les opérateurs retiraient les outils, les clés et les fichiers de configuration à la fin des opérations . La force du réseau ne venait donc pas seulement de sa taille, mais de sa discipline opérationnelle.
Lumen affirme que plus de 27 catégories d’équipements ont été utilisées dans les opérations Silent Train, allant de matériels grand public ou de petits bureaux à des technologies d’entreprise . The Hacker News cite notamment TP-Link, Intelbras, Ruckus Wireless, SATO, NETGEAR, Zyxel et Cambium, ainsi que des plateformes comme Fortinet, Cisco, PRTG, Mirth Connect et CyberPanel . CyberScoop ajoute que des technologies Fortinet, Cisco, ManageEngine, Ivanti, F5, Check Point, Palo Alto Networks, ServiceNow, TP-Link, Netgear et ArcGIS ont été observées dans l’activité plus large .
Un détail renforce l’impression de professionnalisation: certains types d’équipements semblent avoir été assignés à des rôles précis dans la chaîne , . Il ne s’agissait pas d’un ensemble aléatoire de machines compromises, mais d’un inventaire organisé. Certains appareils servaient de relais à l’étranger, d’autres de nœuds intermédiaires ou de points de sortie aux États-Unis. Le résultat était une infrastructure très mobile, mais structurée.
D’un réseau éphémère à un modèle hybride
Silent Train a évolué. Dans sa forme initiale, le cadre reposait fortement sur des chaînes de relais à usage court, abandonnées après chaque session. Début 2025, selon The Hacker News, il avait évolué vers une architecture hybride dans laquelle certains équipements d’entreprise étaient conservés un à trois mois au lieu d’être remplacés après chaque engagement . Lumen indique aussi que des variantes ultérieures ont utilisé des outils de tunnel inversé comme Chisel et FRP afin de rediriger le trafic depuis les appareils infectés vers une infrastructure amont .
Cette évolution complique la défense. Un réseau entièrement éphémère est difficile à cartographier parce que ses nœuds disparaissent. Un réseau hybride l’est pour une autre raison: il combine des relais jetables et des points d’appui plus stables, ce qui augmente son utilité opérationnelle tout en rendant l’attribution et la neutralisation plus difficiles. CyberScoop cite Michael Horka, de Black Lotus Labs, expliquant que Silent Train est difficile à perturber précisément parce qu’il n’existe pas un réseau unique et durable à démanteler .
Le cas Silent Train éclaire aussi les limites des opérations de démantèlement précédentes. Nextgov/FCW rapporte que Silent Train était déjà en cours de constitution pendant que les enquêteurs américains neutralisaient des parties de KV-botnet et notifiaient des victimes . La perturbation d’une infrastructure n’a donc pas mis fin à la campagne; elle a accompagné ou accéléré l’adoption d’un modèle plus jetable, compartimenté et résilient.
Des victimes et une géographie cohérentes avec l’Indo-Pacifique
La liste des victimes décrite dans les publications récentes est large, mais pas incohérente. Lumen cite des opérateurs télécoms, des réseaux gouvernementaux, des sous-traitants de défense, des fournisseurs de communications satellitaires et critiques, des prestataires de services managés, des universités liées à la défense et des organisations d’infrastructures critiques . BleepingComputer mentionne également les services publics, les transports, l’aviation, les services d’urgence, les entreprises IT et les MSP .
La géographie est un indice important. Lumen et plusieurs médias indiquent qu’Hawaï, la Californie et le Texas apparaissent régulièrement comme des foyers de ciblage , , . Ces États concentrent des bases militaires, des infrastructures de télécommunications, des sous-traitants de défense, des fournisseurs de communications satellitaires et des réseaux logistiques importants pour les opérations américaines dans l’Indo-Pacifique . Nextgov/FCW rapporte que cette concentration est cohérente avec une logique de positionnement en vue d’une possible perturbation de réseaux de défense et d’infrastructures liés à cette région .
Cette lecture s’inscrit dans le schéma plus large attribué à Volt Typhoon: prépositionner des accès dans des réseaux critiques plutôt que rechercher un gain financier immédiat ou lancer une action destructive visible. Zetter’s Zero Day décrit Silent Train comme un mécanisme permettant à Volt Typhoon d’entrer et de sortir rapidement de réseaux américains sensibles, tout en volant des identifiants, en siphonnant des données et en établissant de la persistance . L’enjeu dépasse donc l’espionnage traditionnel: il concerne la conservation d’options en période de crise.
Pourquoi les plateformes d’administration sont au cœur du risque
La principale leçon pour les défenseurs concerne les plateformes d’administration centralisée. Les contrôleurs SD-WAN, les serveurs de gestion de terminaux, les plateformes d’administration hors bande et les systèmes de gestion réseau sont conçus pour simplifier l’exploitation informatique. Une fois compromis, ils simplifient aussi le travail d’un attaquant. Lumen avertit que ces systèmes offrent visibilité, privilèges administratifs et chemins de confiance vers des clients ou environnements connectés .
C’est ce qui rend la liste des zero-days particulièrement préoccupante. Versa Director, N-able N-central, Cisco Catalyst SD-WAN, VeloCloud Orchestrator et Quest KACE ne sont pas de simples produits périphériques. Ce sont des couches de contrôle. Un attaquant qui les compromet peut collecter des identifiants, modifier des configurations, transférer des fichiers à distance ou atteindre des environnements clients sans produire les signaux associés à un déplacement latéral classique , .
Pour les prestataires de services managés et les opérateurs télécoms, l’effet de levier est encore plus élevé. Une seule plateforme de confiance peut devenir un pont vers de nombreuses organisations. C’est pourquoi les recommandations de Lumen se concentrent sur l’exposition administrative: inventorier les portails accessibles depuis Internet, limiter l’accès direct par VPN ou réseaux de gestion dédiés, prioriser les correctifs des technologies de contrôle, centraliser les journaux et allonger leur rétention . Lumen recommande aussi de rechercher les connexions administratives inhabituelles, les usages anormaux d’API, les transferts de fichiers et les changements de configuration hors des procédures attendues .
Ce que les organisations doivent retenir maintenant
L’état actuel du dossier n’est pas que Silent Train aurait été un réseau unique définitivement supprimé. L’état actuel est que son fonctionnement est désormais exposé publiquement, que certaines activités ont été perturbées et que les défenseurs disposent d’un modèle plus clair pour comprendre comment Volt Typhoon protégeait ses accès , . Cette nuance est essentielle. Si l’infrastructure peut être reconstruite rapidement, bloquer quelques indicateurs ne suffit pas.
Les organisations doivent d’abord déterminer si elles exploitent les technologies touchées ou des plateformes de gestion comparables. Elles doivent vérifier les correctifs connus, notamment pour les produits SD-WAN et de gestion de terminaux, puis examiner si des interfaces d’administration restent exposées à Internet , . Elles doivent également partir du principe que les journaux peuvent être incomplets, car Lumen indique que les opérateurs ont effacé ou modifié des traces dans certains cas .
La leçon plus large est stratégique. Silent Train montre comment un acteur avancé peut transformer des routeurs ordinaires, des objets connectés et des équipements d’entreprise en voie d’accès transitoire pour l’exploitation zero-day. Il montre aussi que la défense des infrastructures critiques ne peut pas se limiter au périmètre. Les systèmes qui administrent d’autres systèmes sont désormais parmi les actifs les plus sensibles à isoler, surveiller et protéger.