Les chercheurs de Black Lotus Labs, le laboratoire de Lumen, ont révélé que le groupe de hackers Volt Typhoon, lié à la Chine, avait utilisé un réseau clandestin appelé Silent Train lors de quatre campagnes confirmées exploitant des vulnérabilités zero-day.
Les hackers ont ciblé des plateformes qui gèrent des réseaux entiers, et pas seulement des ordinateurs individuels. La compromission de l’un de ces systèmes pourrait leur donner accès aux réseaux de télécommunications, de défense et à d’autres infrastructures critiques.
Les chercheurs ont averti :
« Les systèmes disposant d’un vaste pouvoir d’administration peuvent devenir des passerelles de grande valeur vers l’ensemble de l’organisation et ses clients. »
Un réseau éphémère conçu pour disparaître
Silent Train a été conçu pour laisser peu de traces. Ses opérateurs ont relié des routeurs de télétravail compromis, des appareils connectés et des systèmes d’entreprise afin de mener des attaques. Une fois l’opération terminée, ils ont coupé ces connexions et effacé les preuves de leurs activités. Les sessions duraient en moyenne environ quatre heures.
Silent Train a été découvert pour la première fois au cours du second semestre 2023. Son activité s’est intensifiée après le démantèlement par les autorités de l’ancien botnet KV de Volt Typhoon, au début de 2024.
Black Lotus Labs a envoyé des milliers de notifications aux victimes sur une période de trois ans. Parmi les secteurs touchés par le groupe de pirates figurent les télécommunications, la défense, les communications par satellite, l’énergie, les transports et les ressources en eau. Le groupe s’est particulièrement intéressé aux cibles situées à Hawaï, au Texas et en Californie.
Quatre campagnes, cinq CVE
Les quatre campagnes confirmées de Silent Train visaient des logiciels utilisés pour gérer des réseaux entiers.
La première concernait Versa Director : la vulnérabilité CVE-2024-39717 permettait à des attaquants disposant de privilèges élevés de téléverser des fichiers malveillants. Versa a révélé la faille en août 2024.
En 2025, les attaquants ont ciblé N-able N-central à l’aide de deux vulnérabilités, CVE-2025-8875 et CVE-2025-8876. Toutes deux nécessitaient une authentification.
Les campagnes de 2026 visaient deux plateformes de gestion SD-WAN. Cisco a révélé la vulnérabilité CVE-2026-20127 le 25 février. Notée 10,0, elle permettait aux attaquants d’obtenir des privilèges d’administrateur sans authentification. Arista a révélé une autre vulnérabilité notée 10,0, CVE-2026-16812, qui affectait VeloCloud Orchestrator, le 27 juillet.
Les quatre fournisseurs ont publié des correctifs. Cependant, Lumen a observé que l’exploitation de la vulnérabilité de Cisco se poursuivait après sa divulgation.
Silent Train de Volt Typhoon : quatre campagnes d’exploitation de vulnérabilités zero-day et les risques pour le marché de la cybersécurité
Pourquoi l’accès est l’objectif
Les activités de Volt Typhoon remontent au moins au milieu de 2021. Microsoft a publiquement identifié le groupe en mai 2023, signalant des intrusions dans des réseaux d’infrastructures critiques à Guam et dans la partie continentale des États-Unis.
Les inquiétudes vont au-delà du vol d’informations.
Dans une analyse publiée en janvier 2026, le chercheur de l’IISS John Bruce a fait remarquer :
La grande majorité des réseaux ciblés par Volt Typhoon présentaient peu d’intérêt pour le renseignement étranger du gouvernement chinois.
Bruce a cité la collecte par le groupe de schémas de réseau et de manuels d’exploitation comme preuve de préparatifs en vue d’éventuelles opérations de perturbation. Guam revêt une importance particulière, car ses installations militaires seraient essentielles en cas de conflit potentiel autour de Taïwan.
Il s’agit toujours d’évaluations des intentions du groupe, et non de preuves d’une attaque ordonnée.
La concentration est un facteur d’exposition
Le contexte plus général de la cybersécurité aide à comprendre le danger.
Le rapport 2026 de Verizon, qui porte sur plus de 31 000 incidents, révèle que l’exploitation de vulnérabilités est devenue le principal moyen de pénétrer dans les organisations. Les intrusions dans les systèmes représentaient 61 % des violations confirmées.
Lorsque des attaquants compromettent des logiciels qui gèrent plusieurs réseaux, les dommages potentiels dépassent le cadre d’une seule organisation.
Les conséquences financières restent incertaines. Le FMI a averti que les systèmes financiers interconnectés sont confrontés à des cyberrisques croissants. Toutefois, aucune perte sur les marchés n’a été directement attribuée à Silent Train.
Par ailleurs, Cryptopolitan a fait état d’une autre vulnérabilité de VeloCloud exploitée, CVE-2026-114625, notée 9,9 et corrigée le 22 octobre. Elle est distincte de la faille que Lumen a associée à Silent Train.
Si vous lisez ceci, vous avez déjà une longueur d’avance. Gardez-la grâce à notre newsletter.