Volt Typhoon : nouvelles techniques ciblant les OT/IIoT industriels

Initialement documenté sur des compromissions d'infrastructures critiques aux États-Unis (énergie, eau, télécoms), l'acteur étatique chinois Volt Typhoon (alias VANGUARD PANDA, BRONZE SILHOUETTE) étend désormais ses opérations vers l'Europe. Notre Threat Intelligence a corroboré, sur les douze derniers mois, plusieurs incidents en France et en Allemagne portant la signature du groupe.

Living-off-the-land : la marque de fabrique

Volt Typhoon n'utilise quasiment aucun malware custom. La quasi-totalité de ses opérations s'appuie sur des binaires Windows légitimes (PowerShell, WMI, certutil, ntdsutil, PsExec) et des outils administrateur réseau (Cisco IOS commands, MikroTik RouterOS scripting). Cette discrétion rend la détection EDR classique inopérante.

Cible récente : automates et passerelles industrielles

L'extension récente vers l'OT/IIoT est documentée. Les automates Siemens S7, les passerelles Moxa, les NVR Hikvision et les routeurs ISP grand public (utilisés en réseau industriel) sont des cibles privilégiées. Ces équipements partagent des caractéristiques exploitables : firmware rarement mis à jour, identifiants par défaut, exposition Internet involontaire.

Le « ORB network »

L'infrastructure C2 de Volt Typhoon repose sur des Operational Relay Boxes — des routeurs domestiques compromis (souvent ASUS, Cisco SMB, NETGEAR) qui servent de proxy chiffré. Ce réseau diffus rend l'attribution difficile et le blocage par IP inefficace.

Détection : où chercher

• Anomalies dans les binaires natifs : wmic.exe invoquant process call create à des heures inhabituelles, vssadmin listant les shadow copies depuis un compte de service.
• Exfiltration via HTTPS résidentiel : flux sortant vers des plages d'IP grand public françaises ou allemandes — anormal pour un poste industriel.
• Persistence via Scheduled Tasks : créées sous des noms imitant des tâches Windows légitimes (« GoogleUpdaterTaskSystem134.0 »).
• Recon AD silencieuse : ldap sans dsquery, ntdsutil invoqué depuis un compte non-admin habilité par groupe imbriqué.

Contre-mesures opérationnelles

• Segmentation OT/IT stricte : aucune route directe Internet → OT. Les segments OT n'ont accès qu'aux services bastions explicites.
• MFA matériel sur les accès admin : les credentials volés ne suffisent plus à pivoter.
• Monitoring NDR sur les zones DMZ industrielles : les automates ne sont pas instrumentables en EDR — la visibilité réseau est la seule option.
• Threat hunting périodique sur les TTP T1059.001 (PowerShell), T1003.003 (NTDS dump), T1021.004 (SSH lateral movement).

Notre conviction : l'enjeu Volt Typhoon n'est pas le ransomware classique — c'est le pré-positionnement à long terme dans les infrastructures critiques européennes en vue d'une crise géopolitique future. La défense ne peut se limiter à la détection : elle doit inclure une stratégie d'éradication et de durcissement, sur des cycles de plusieurs trimestres.