Des routeurs de particuliers et de petits bureaux, piratés dans plusieurs pays, ont relayé à partir de la fin 2023 le trafic des espions chinois de Volt Typhoon vers des opérateurs télécoms et des sous-traitants militaires américains. Chaque chaîne de relais servait quelques heures, puis disparaissait sans laisser de trace.
Les chercheurs de Black Lotus Labs, chez l’opérateur américain Lumen, font remonter les débuts de ce réseau clandestin, Silent Train, à novembre 2023 environ. Quelques semaines plus tard, une première opération perturbait le KV-botnet, dont Volt Typhoon et d’autres groupes liés à Pékin se servaient pour masquer l’origine de leurs attaques. Volt Typhoon, actif depuis au moins 2021, s’en prend surtout aux télécommunications et aux réseaux d’énergie américains. Après la seconde opération contre le KV-botnet, menée par les autorités américaines fin janvier 2024, l’activité de Silent Train a nettement augmenté. Jusqu’à sa neutralisation, ce réseau a servi à pirater des centaines d’organisations américaines, des opérateurs télécoms aux services d’urgence.
Protégez votre entreprise gratuitement pendant 30 jours
Découvrez Bitdefender Ultimate Small Business Security et protégez votre activité contre les cybermenaces. Aucune coordonnée bancaire requise.
Des routeurs piratés, abandonnés après chaque session
Chaque session de Silent Train démarrait depuis un serveur privé virtuel installé hors des États-Unis, puis abandonné après usage. Le trafic transitait ensuite par des routeurs et des objets connectés piratés dans plusieurs pays, chez des fournisseurs d’accès différents, avant de sortir par un appareil compromis sur le sol américain. Grâce à cette dernière étape, les connexions ressemblaient à du trafic local, et les victimes ne pouvaient les bloquer ni par pays ni avec les listes d’adresses IP suspectes.
Les chercheurs ont recensé 27 types d’appareils enrôlés dans le réseau, des routeurs TP-Link ou Zyxel jusqu’aux pare-feu Fortinet. Chaque modèle gardait son rôle d’une session à l’autre. Les modems du brésilien Intelbras ne servaient que de relais, tandis que les routeurs Netgear Orbi et les pare-feu FortiGate faisaient office de points de sortie aux États-Unis, au contact direct des victimes. Les appareils changeaient sans cesse, mais leurs rôles restaient fixes, et les enquêteurs avaient bien du mal à remonter jusqu’aux opérateurs.
Pour prendre la main sur ces appareils, les opérateurs de Volt Typhoon exploitaient leur interface d’administration web, ouverte sur Internet, et n’installaient que le strict nécessaire afin de relayer une connexion SSH. Sur chaque appareil, ils déposaient un service SSH temporaire, des clés et quelques fichiers de configuration, et se servaient des outils du système en place. Une session durait environ quatre heures, parfois quelques minutes seulement. « Ils supprimaient chaque artefact et démontaient la chaîne derrière eux », écrivent les chercheurs de Black Lotus Labs.
Début 2025, le réseau a changé de fonctionnement. Les équipements d’entreprise restaient en service entre un et trois mois au lieu d’être remplacés après chaque opération, et des tunnels inversés, montés avec les outils libres Chisel et FRP, faisaient remonter le trafic des appareils infectés.
Que vous soyiez un particulier ou à la tête d'une TPE, votre meilleure parade est de fermer l’interface d’administration du routeur à tout accès depuis Internet et d'installer chaque mise à jour du fabricant.
Quatre failles zero-day dans des consoles d’administration réseau
Silent Train a surtout servi à attaquer les logiciels qui pilotent à distance des parcs entiers de postes et d’équipements réseau. Selon Black Lotus Labs, quatre campagnes d’exploitation de failles zero-day sont passées par ce réseau. La plus ancienne exploitait une faille de Versa Director (CVE-2024-39717) pour installer le programme espion VersaMem. Ce mouchard dérobait les identifiants des administrateurs et ouvrait l’accès aux clients des entreprises qui utilisaient le logiciel. Deux autres campagnes touchaient la console de supervision de N-able (CVE-2025-8875 et CVE-2025-8876) et le contrôleur Catalyst SD-WAN de Cisco (CVE-2026-20127), et une quatrième l’orchestrateur VeloCloud d’Arista (CVE-2026-16812). Les chercheurs soupçonnent aussi Volt Typhoon d’avoir exploité une faille de Quest KACE avant sa correction en octobre 2025, avec plus de trente victimes à la clé.
Ces consoles administrent les ordinateurs, les réseaux ou les liaisons entre sites d’une entreprise, et parfois ceux de tous les clients d’un prestataire informatique. Il suffit alors d’une seule console compromise pour accéder aux réseaux de tous ces clients. Selon les chercheurs, les victimes se comptent par centaines chez les opérateurs télécoms, les sous-traitants militaires et les fournisseurs de communications par satellite, mais aussi dans les universités et les réseaux d’eau et d’énergie.
Aux États-Unis, les opérations se concentraient sur Hawaï, la Californie et le Texas, où se trouvent de grandes bases militaires, des infrastructures télécoms et des réseaux logistiques. Pour Black Lotus Labs, Volt Typhoon voulait garder un accès durable aux réseaux qui font tourner la défense et la logistique américaines, en particulier en cas de crise dans la zone indo-pacifique.
