🗓️ Contexte

Publié le 28 octobre 2026 par Kim Zetter sur Zero Day (zetter-zeroday.com), cet article s’appuie sur un rapport public de Black Lotus Labs (Lumen Technologies) et une présentation non publique donnée à la conférence LabsCon de SentinelOne en Arizona. Il documente pour la première fois les mécanismes techniques détaillés de l’infrastructure d’attaque de Volt Typhoon, groupe étatique chinois actif depuis au moins 2023.

🎯 Acteur et objectifs

Volt Typhoon est un groupe de cyberespionnage étatique chinois ciblant méthodiquement les infrastructures critiques américaines, dans un contexte géopolitique lié à une éventuelle invasion de Taïwan. Ses objectifs combinent pré-positionnement stratégique et espionnage actif : exfiltration de documents militaires, collecte de credentials pour un accès long terme, et cartographie des réseaux.

🔗 Infrastructure Silent Train

Silent Train est une chaîne d’infection en daisy chain, composée de dispositifs procurés et compromis, utilisée une seule fois par opération puis démontée :

  • Étape 1 : Location/achat d’un VPS hébergé hors des États-Unis (Alibaba Cloud, Huawei Cloud, UCloud)
  • Étape 2 : Acquisition d’un second VPS dans une région géographique différente
  • Étape 3 : Compromission de routeurs SOHO ou appareils IoT hors US, puis pivot vers des dispositifs similaires à l’intérieur des US
  • Étape 4 : Compromission de plateformes enterprise (Fortinet, Cisco, PRTG, Mirth Connect, CyberPanel) en fin de chaîne, avant d’atteindre la cible finale
  • Étape 5 : Effacement complet de tous les artefacts sur l’ensemble de la chaîne après chaque session

⏱️ L’assemblage d’une chaîne prend moins de deux minutes, suggérant une automatisation partielle.

🛠️ Techniques notables

  • Living off the land : utilisation des outils légitimes présents sur les systèmes compromis, sans dépôt de malware
  • SSH relay chains : relais SSH pour l’obfuscation du trafic
  • Diversité de dispositifs : plus de 27 classes de dispositifs différentes, avec des rôles stricts selon la géographie (ex. : Intelbras modems uniquement hors US, Netgear Orbi uniquement dans les US)
  • Rotation mensuelle des types de dispositifs dans les chaînes
  • Exploitation de zero-days : au moins 4 vulnérabilités zero-day identifiées
  • Credential theft : vol de credentials légitimes pour les reconnexions ultérieures
  • Ciblage des systèmes de management centralisés (control plane) pour un accès étendu

🏭 Secteurs et géographies ciblés

Les victimes notifiées (plusieurs centaines sur trois ans) incluent :

  • Agences gouvernementales et contractants de défense
  • Télécommunications et fournisseurs de communications d’urgence
  • Communications militaires et forces de l’ordre
  • Renseignement géospatial et opérateurs de satellites en orbite basse
  • Universités avec programmes ROTC ou recherche militaire
  • Fournisseurs de services managés (MSP) et prestataires IT
  • Opérateurs d’infrastructures critiques : énergie, eau, rail, transport maritime

📍 Zones géographiques récurrentes : Hawaï, Californie, Texas — États abritant des installations militaires majeures et des infrastructures stratégiques liées à la région Indo-Pacifique.

📄 Nature de l’article

Article de presse spécialisée à forte composante d’analyse technique et de threat intelligence, basé sur un rapport de recherche de Black Lotus Labs. Son but principal est de documenter publiquement pour la première fois les mécanismes opérationnels de Volt Typhoon afin d’informer la communauté CTI et les défenseurs.

🧠 TTPs et IOCs détectés

Acteurs de menace

TTP

  • T1090.003 — Proxy: Multi-hop Proxy (Command and Control)
  • T1078 — Valid Accounts (Defense Evasion)
  • T1562.006 — Impair Defenses: Indicator Blocking (Defense Evasion)
  • T1070 — Indicator Removal (Defense Evasion)
  • T1070.001 — Indicator Removal: Clear Windows Event Logs (Defense Evasion)
  • T1021.004 — Remote Services: SSH (Lateral Movement)
  • T1190 — Exploit Public-Facing Application (Initial Access)
  • T1588.003 — Obtain Capabilities: Code Signing Certificates (Resource Development)
  • T1583.003 — Acquire Infrastructure: Virtual Private Server (Resource Development)
  • T1584.005 — Compromise Infrastructure: Botnet (Resource Development)
  • T1560 — Archive Collected Data (Collection)
  • T1003 — OS Credential Dumping (Credential Access)
  • T1119 — Automated Collection (Collection)
  • T1036 — Masquerading (Defense Evasion)
  • T1202 — Indirect Command Execution (Defense Evasion)
  • T1059 — Command and Scripting Interpreter (Execution)
  • T1133 — External Remote Services (Initial Access)

🟡 Indice de vérification factuelle : 45/100 (moyenne)

  • ⬜ zetter-zeroday.com — source non référencée (0pts)
  • ✅ 14265 chars — texte complet (fulltext extrait) (15pts)
  • ⬜ aucun IOC extrait (0pts)
  • ⬜ pas d’IOC à vérifier (0pts)
  • ✅ 17 TTPs MITRE identifiées (15pts)
  • ✅ date extraite du HTML source (10pts)
  • ✅ acteur(s) identifié(s) : Volt Typhoon (5pts)
  • ⬜ pas de CVE à vérifier (0pts)

🔗 Source originale : https://www.zetter-zeroday.com/silent-train-volt-typhoons-sophisticated-infection-chain-into-us-targets-exposed/