Le groupe Volt Typhoon utilisait le réseau clandestin Silent Train pour exploiter des failles zero-day, selon Black Lotus Labs.

Le groupe de cyberespionnage Volt Typhoon, lié à la Chine, s’appuyait sur un réseau d’accès clandestin baptisé Silent Train. Cependant, cette infrastructure est désormais perturbée. Selon Black Lotus Labs, la division de recherche de Lumen Technologies, elle a servi à exploiter des failles zero-day. Elle a également servi à établir un accès stratégique. Par ailleurs, le rapport évoque quatre campagnes d’exploitation de ce type.

Volt Typhoon et Silent Train : ce que l’on sait

Les chercheurs ont identifié Silent Train pour la première fois à la fin de 2023. Il ne s’agit donc pas d’une découverte récente. En effet, le réseau fonctionnait depuis longtemps avant d’être perturbé.

Black Lotus Labs décrit un dispositif reposant sur des chaînes de rebond rotatives. Ces chaînes s’appuient sur des équipements compromis. Ainsi, elles permettent à l’attaquant de masquer l’origine réelle de ses connexions.

Le réseau a rempli deux fonctions principales :

• l’exploitation de vulnérabilités zero-day ;
• le maintien d’un accès stratégique aux cibles.

Les informations disponibles ne détaillent pas les produits visés par les quatre campagnes. De plus, aucun identifiant CVE n’est cité à ce stade. Il faut donc rester prudent sur l’étendue exacte des dégâts.

Une infrastructure bâtie sur des équipements compromis

Silent Train mélange plusieurs types d’appareils. Les chercheurs citent notamment des équipements SOHO, des objets connectés (IoT) et des infrastructures d’entreprise. Le sigle SOHO désigne les petits bureaux et les domiciles : routeurs, pare-feu légers et boîtiers réseau grand public.

Ce choix n’a rien d’anodin. En effet, ces appareils sont souvent mal supervisés. Ils reçoivent rarement des mises à jour rapides. En outre, ils ne disposent presque jamais d’une solution de détection.

Par ailleurs, le trafic qui transite par eux paraît banal. Une connexion venant d’un routeur domestique situé dans le pays de la victime éveille peu de soupçons. Les équipes de sécurité filtrent d’ailleurs plus facilement les adresses étrangères que les adresses locales.

La rotation des chaînes complique encore le travail des défenseurs. En effet, un nœud bloqué est vite remplacé par un autre. Ainsi, les listes d’adresses à bannir vieillissent très vite. Autrement dit, la défense par simple liste noire montre vite ses limites.

Le principe d’un réseau d’accès clandestin

Ce type de dispositif relaie le trafic à travers plusieurs machines compromises. Ainsi, le serveur de l’attaquant n’apparaît jamais directement dans les journaux de la victime. De plus, chaque saut brouille un peu plus la piste. L’attribution devient donc plus difficile pour les enquêteurs.

Pourquoi Volt Typhoon mise sur les zero-day

Une faille zero-day est une vulnérabilité inconnue de l’éditeur. Aucun correctif n’existe au moment de l’attaque. Par conséquent, les défenses classiques fondées sur les mises à jour ne suffisent pas.

Combiner des zero-day avec un réseau de relais discret donne un avantage clair. D’abord, l’attaquant entre par une porte que personne ne surveille. Ensuite, il agit depuis des adresses d’apparence légitime. Enfin, il peut rester longtemps en place sans déclencher d’alerte.

Cette méthode correspond à la réputation du groupe. Volt Typhoon est connu pour sa discrétion et sa patience. Son objectif n’est pas toujours un gain immédiat. En revanche, il s’agit souvent de préparer un accès durable, utilisable plus tard.

La perturbation de Silent Train est donc une bonne nouvelle. Cependant, elle ne signifie pas la fin du groupe. Les opérateurs peuvent reconstruire un réseau comparable avec d’autres appareils compromis. Toutefois, chaque démantèlement les oblige à perdre du temps et des accès.

Ce qu’il faut retenir et recommandations

L’affaire rappelle qu’un petit routeur oublié peut servir de relais à une opération d’espionnage d’État. Les organisations doivent donc traiter ces équipements comme des cibles à part entière.

• Inventorier tous les équipements en bordure de réseau, y compris les routeurs SOHO et les objets IoT.
• Appliquer les correctifs sans attendre, et remplacer le matériel qui n’est plus maintenu par son fabricant.
• Changer les identifiants par défaut et désactiver l’administration à distance quand elle n’est pas nécessaire.
• Surveiller le trafic sortant des équipements périphériques, notamment les connexions inhabituelles.
• Ne pas se limiter aux listes d’adresses IP : privilégier la détection comportementale.
• Redémarrer et réinitialiser les appareils suspects, puis vérifier leur micrologiciel.

En résumé, Silent Train montre comment un groupe étatique peut s’appuyer sur l’infrastructure ordinaire d’autrui. C’est pourquoi les défenseurs gagnent à considérer chaque appareil connecté comme un point d’entrée potentiel. Le rapport de Black Lotus Labs offre un éclairage utile sur cette tactique. Les équipes de sécurité devraient donc en tirer des leçons dès maintenant.

Source : Volt Typhoon Used Covert Silent Train Network in Four Zero-Day Exploitation Campaigns