Cybersécurité

Une zero-day Cisco SD-WAN liée au « Silent Train » de Volt Typhoon

29 octobre 20264 min de lecture

Par Sarah Chen — Certifiée CEH, expérience en tests d'intrusion et en sécurité des réseaux

Une zero-day Cisco SD-WAN liée au « Silent Train » de Volt Typhoon

Cisco Talos a relié un malware qui vole des clés sur les systèmes Cisco SD-WAN à une infrastructure qui recoupe le réseau « Silent Train » de Volt Typhoon, un réseau que Lumen avait précédemment détaillé. Cette découverte relie un fil d'activité de Volt Typhoon exploitant une zero-day Cisco SD-WAN à un schéma plus large : des acteurs liés à des États qui s'en prennent aux routeurs et aux équipements de périphérie qui transportent le trafic d'une organisation.

Le résumé public de la recherche est bref, cet article s'en tient donc à ce qui a été rapporté et explique pourquoi cela compte pour les personnes qui gèrent une infrastructure réseau.

Ce que Talos a découvert dans les attaques SD-WAN

Selon le rapport, Cisco Talos a relié le malware voleur de clés utilisé contre Cisco SD-WAN à une infrastructure qui recoupe le réseau Silent Train. Le malware cible les clés sur les systèmes SD-WAN, et l'activité impliquait l'exploitation d'une zero-day, ce qui signifie que la faille a été utilisée avant qu'un correctif ne soit disponible.

Le résumé source ne fournit pas plus de détails sur les vulnérabilités spécifiques, les versions affectées ou le nombre de victimes, nous ne spéculerons donc pas sur ces points. Les administrateurs doivent consulter les avis de Cisco eux-mêmes pour obtenir la liste faisant autorité des produits affectés et des versions corrigées.

Comment Silent Train relie l'activité à Volt Typhoon

L'attribution ici concerne un chevauchement d'infrastructure, et non une déclaration selon laquelle un groupe est définitivement à l'origine de chaque intrusion. Talos a constaté que les serveurs et les ressources réseau associés au malware recoupent Silent Train, que Lumen a décrit dans ses propres recherches et relié à Volt Typhoon.

Le chevauchement d'infrastructure est un signal utile pour les défenseurs. Il permet aux équipes de sécurité de comparer les indicateurs entre les enquêtes, et il suggère que les mêmes opérateurs, ou des opérateurs partageant des ressources, peuvent être impliqués. Ce n'est pas la même chose qu'une attribution complète, et les lecteurs doivent garder cette distinction à l'esprit.

Pourquoi les équipements de périphérie et les clés volées sont des cibles si précieuses

Les contrôleurs SD-WAN et les routeurs de périphérie se trouvent à un point d'étranglement. Ils connectent les agences, les centres de données et les services cloud, et ils détiennent souvent le matériel cryptographique qui authentifie les équipements les uns auprès des autres. Voler des clés sur un tel système peut donner à un attaquant un moyen de se fondre dans le trafic légitime ou d'atteindre d'autres parties du réseau.

Les équipements de périphérie sont également plus difficiles à surveiller que les ordinateurs portables ou les serveurs. De nombreuses organisations ne peuvent pas exécuter d'agents de sécurité endpoint sur ces appliances, de sorte que les compromissions peuvent passer inaperçues pendant de longues périodes. Cela les rend attrayants pour des acteurs patients et bien financés.

Ce n'est pas une tendance isolée pour les produits Cisco. Une couverture récente a examiné comment la zero-day Cisco FMC CVE-2026-20316 a fait l'objet d'attaques actives, et comment trois groupes de hackers ont utilisé des failles FMC pour déployer le ransomware Qilin. La gestion et l'infrastructure réseau continuent d'attirer l'attention de types d'attaquants très différents.

Ce que les administrateurs doivent faire maintenant pour corriger et durcir les équipements de périphérie

Si vous gérez Cisco SD-WAN ou d'autres infrastructures de périphérie, quelques étapes méritent d'être prioritaires :

Appliquez rapidement les correctifs de Cisco. Consultez les avis du fournisseur pour SD-WAN et installez les versions corrigées dès qu'elles sont disponibles pour votre déploiement.
Auditez les interfaces de gestion exposées. Les contrôleurs et les plans de gestion ne doivent pas être accessibles depuis l'internet ouvert. Restreignez l'accès aux réseaux de confiance ou à un chemin de gestion dédié.
Examinez et renouvelez les identifiants et les clés. Parce que le malware cible les clés, déterminez si les certificats et les secrets des systèmes affectés doivent être remplacés après le correctif.
Vérifiez les journaux pour détecter une activité inhabituelle. Recherchez des connexions inattendues, des modifications de configuration ou des connexions depuis des adresses inconnues, et comparez avec les indicateurs publiés par Cisco Talos et Lumen.
Segmentez et surveillez. Limitez ce qu'un équipement de périphérie compromis peut atteindre, et envoyez ses journaux vers un système que les attaquants ne peuvent pas facilement altérer.

Ce que cela signifie pour vous

Si vous dirigez une petite entreprise ou un réseau géré, vous pouvez dépendre du SD-WAN ou d'équipements de périphérie sans y penser beaucoup. Ce rapport rappelle que ces appareils ne sont pas du type « configurer et oublier ». Ils méritent la même discipline de correctifs que les serveurs, et souvent davantage, car les attaquants savent qu'ils sont faiblement surveillés.

Si vous êtes un utilisateur individuel, il n'y a pas d'action unique à entreprendre sur la base de ce rapport. Cela montre néanmoins pourquoi il importe de maintenir à jour le firmware du routeur et du pare-feu à la maison ou dans un petit bureau. Les organisations qui traitent vos données ne sont sûres que dans la mesure des appareils qui transportent leur trafic.

Points clés à retenir

La connexion entre la zero-day Cisco SD-WAN et Volt Typhoon rapportée par Talos met en évidence la manière dont les acteurs liés à des États considèrent l'infrastructure de périphérie comme une cible de grande valeur. Si vous gérez Cisco ou d'autres systèmes de périphérie, appliquez rapidement les correctifs, auditez quelles interfaces de gestion sont exposées et renouvelez les clés là où une compromission est possible. Pour une vue plus large du schéma, lisez notre couverture de la faille Cisco FMC exploitée par Sandworm et Qilin et de la zero-day de la Secure Email Gateway activement exploitée. Ensuite, vérifiez vos propres équipements de périphérie dès aujourd'hui.

// FAQ

Qu'a découvert Cisco Talos dans les attaques SD-WAN ?

Cisco Talos a relié le malware voleur de clés utilisé contre Cisco SD-WAN à une infrastructure qui recoupe le réseau Silent Train. Le malware cible les clés sur les systèmes SD-WAN, et l'activité impliquait l'exploitation d'une zero-day, ce qui signifie que la faille a été utilisée avant qu'un correctif ne soit disponible.

Cela signifie-t-il que Volt Typhoon est définitivement à l'origine de chaque intrusion ?

Non. L'attribution concerne un chevauchement d'infrastructure, et non une déclaration selon laquelle un groupe est définitivement à l'origine de chaque intrusion. Talos a constaté que les serveurs et les ressources réseau associés au malware recoupent Silent Train, que Lumen a relié à Volt Typhoon.

Pourquoi les équipements de périphérie et les clés volées sont-ils des cibles si précieuses ?

Les contrôleurs SD-WAN et les routeurs de périphérie se trouvent à un point d'étranglement, connectant les agences, les centres de données et les services cloud, et détiennent souvent le matériel cryptographique qui authentifie les équipements les uns auprès des autres. Voler des clés peut donner à un attaquant un moyen de se fondre dans le trafic légitime ou d'atteindre d'autres parties du réseau.

Pourquoi les équipements de périphérie sont-ils plus difficiles à surveiller que les ordinateurs portables ou les serveurs ?

De nombreuses organisations ne peuvent pas exécuter d'agents de sécurité endpoint sur ces appliances, de sorte que les compromissions peuvent passer inaperçues pendant de longues périodes. Cela les rend attrayants pour des acteurs patients et bien financés.

Où les administrateurs peuvent-ils trouver la liste faisant autorité des produits affectés et des versions corrigées ?

Les administrateurs doivent consulter les avis de Cisco eux-mêmes pour obtenir la liste faisant autorité des produits affectés et des versions corrigées. Le résumé source ne fournit pas de détails sur les vulnérabilités spécifiques, les versions affectées ou le nombre de victimes.