Evooo1Bot, la nouvelle variante de Mirai qui transforme les routeurs en proxy pour les attaquants

Un botnet Linux exploite des appareils exposés à Internet

Evooo1Bot est une nouvelle variante Linux dérivée du code du botnet Mirai. FortiGuard Labs a signalé son activité le 13 août 2026, la décrivant comme une menace apparemment non documentée jusque-là.

Le botnet exploite des vulnérabilités non corrigées présentes dans des routeurs et d’autres équipements directement accessibles depuis Internet. L’activité serait en cours depuis au moins un mois, mais le nombre d’appareils compromis dans le monde reste inconnu.

La télémétrie des chercheurs montre des connexions ou des tentatives d’infection en Amérique du Nord, en Amérique du Sud, en Europe, en Inde, en Chine et au Japon. Cette répartition géographique indique une campagne de grande ampleur, sans toutefois permettre à elle seule d’estimer le nombre de victimes.

Les appareils concernés sont fabriqués par :

• Alcatel ;
• D-Link ;
• Mitsubishi Electric ;
• Netgear ;
• Tenda ;
• Telesquare.

Les versions exactes des produits concernés n’ont pas été communiquées. Aucun identifiant CVE ni score CVSS spécifique à l’activité d’Evooo1Bot n’a non plus été indiqué.

Du DDoS au contrôle opérationnel de l’appareil

Comme de nombreuses variantes de Mirai, Evooo1Bot peut utiliser les appareils infectés pour mener des attaques DDoS. Le malware ajoute toutefois des fonctions qui augmentent considérablement la valeur de l’équipement compromis pour son opérateur.

Les communications avec l’infrastructure de command and control, ou C2, sont chiffrées. Il devient ainsi plus difficile de détecter les échanges en analysant le contenu du trafic, ce qui peut compliquer le travail des outils de supervision dépourvus de capacités d’inspection adaptées.

Le malware intègre également un scanner ciblant les services ou le code SSH. Cette fonction peut servir à repérer d’autres cibles accessibles via ce protocole, augmentant les possibilités de propagation ou d’accès à des systèmes supplémentaires.

Evooo1Bot tente aussi d’identifier les honeypots, c’est-à-dire les systèmes conçus pour attirer et observer les attaquants. Le fait d’éviter ces environnements permet au botnet de réduire le risque que ses activités soient analysées dans un cadre contrôlé.

Un autre composant recherche les identifiants par défaut encore présents sur les appareils. Les routeurs, caméras IP, pare-feu et équipements périphériques déployés sans modification du mot de passe initial peuvent ainsi constituer un point d’entrée supplémentaire.

La combinaison du chiffrement, du scan SSH, de la détection des honeypots et de la recherche d’identifiants par défaut distingue Evooo1Bot des variantes Mirai les plus rudimentaires. Il ne s’agit pas uniquement d’un réseau destiné à générer du trafic malveillant : le malware vise à conserver un contrôle plus discret et plus durable des appareils.

La fonctionnalité SOCKS constitue le risque le plus important

L’élément opérationnel le plus notable est la prise en charge du protocole SOCKS. Un appareil compromis peut être configuré comme proxy afin de relayer les connexions des attaquants vers d’autres serveurs.

Concrètement, le trafic ne provient pas directement de l’infrastructure contrôlée par l’attaquant. Il transite par le routeur, le pare-feu, la caméra ou un autre équipement de la victime. Pour les systèmes destinataires, la source apparente de la connexion peut donc correspondre à l’adresse de l’organisation compromise.

Cette capacité offre plusieurs avantages à l’attaquant. L’appareil peut servir à masquer l’origine réelle des activités, à accéder à des services qui autorisent les connexions provenant de l’équipement périphérique ou encore à créer un point de passage vers les réseaux internes.

Un routeur ou un pare-feu situé à la frontière du réseau peut avoir une visibilité et un accès à des ressources qui ne sont pas exposées publiquement. Si l’appareil est transformé en proxy persistant, il peut devenir un outil de reconnaissance, de relais de trafic et de préparation d’opérations ultérieures.

On ignore si chaque infection est exploitée pour des activités de déplacement latéral ou d’accès interne. La présence de cette fonctionnalité augmente néanmoins l’impact potentiel par rapport à une compromission limitée au DDoS.

Pourquoi les équipements périphériques sont ciblés

Les appareils ciblés présentent souvent trois caractéristiques favorables à la propagation d’un botnet : ils sont connectés en permanence, remplissent des fonctions essentielles et peuvent rester exposés pendant de longues périodes.

Un équipement vulnérable exposé à Internet peut être atteint sans compromettre au préalable un ordinateur interne. S’il conserve en outre des identifiants par défaut, l’attaquant dispose d’une seconde méthode d’accès, même après l’application partielle d’un correctif.

La compromission peut être difficile à détecter. Un routeur ou une caméra continue généralement de fonctionner normalement, tout en exécutant en parallèle des scans, en maintenant des communications chiffrées avec le C2 ou en relayant des connexions SOCKS.

Les signaux à surveiller comprennent le trafic SSH inhabituel, les connexions chiffrées vers des destinations atypiques et les flux proxy provenant d’appareils qui ne devraient pas proposer de services SOCKS. Toute modification anormale de la configuration DNS, des règles du pare-feu ou des processus actifs doit également faire l’objet d’une vérification.

L’absence de ralentissement visible n’exclut pas une infection. Les fonctions de proxy et de dissimulation peuvent être utilisées sans déclencher immédiatement une attaque DDoS détectable.

La réutilisation de Mirai continue de produire de nouvelles menaces

Le code source de Mirai a été publié en 2016. Depuis, il a été réutilisé pour créer de nombreuses variantes adaptées à de nouveaux appareils, identifiants et vulnérabilités.

Evooo1Bot s’inscrit dans cette continuité, mais avec un profil davantage axé sur la persistance et l’exploitation de l’infrastructure compromise. Parmi les descendants cités figurent Aisuru et KimWolf.

En mars, des agences des États-Unis, du Canada et de l’Allemagne ont mené des opérations contre ces deux menaces. En mai, un ressortissant canadien a été inculpé, accusé d’administrer KimWolf.

Ces précédents montrent que les botnets dérivés de Mirai ne sont pas uniquement des campagnes automatisées de courte durée. Ils peuvent soutenir des infrastructures organisées, attirer l’attention des autorités et servir à fournir des services de proxy, mener des attaques distribuées et conduire des opérations d’accès non autorisé.

On ignore si Evooo1Bot est directement liée à Aisuru, à KimWolf ou à d’autres groupes déjà identifiés.

Mesures recommandées aux administrateurs

La première mesure consiste à appliquer les mises à jour disponibles fournies par les fabricants des équipements concernés. Les versions exactes n’ayant pas été communiquées, les administrateurs doivent vérifier tous les modèles Alcatel, D-Link, Mitsubishi Electric, Netgear, Tenda et Telesquare présents dans leur inventaire.

Il est également indispensable de remplacer immédiatement les identifiants par défaut par des mots de passe uniques et robustes. La recherche active des comptes et mots de passe initiaux rend risqué le maintien de la configuration d’usine.

Les services d’administration non indispensables doivent être retirés de l’exposition directe à Internet. Lorsque cela est possible, l’accès doit être restreint au moyen d’un VPN, de listes d’autorisation, de la segmentation réseau et de règles de pare-feu spécifiques.

Les équipes de sécurité doivent surveiller :

• les tentatives de connexion SSH vers des destinations inhabituelles ;
• le trafic C2 chiffré provenant d’équipements périphériques ;
• les connexions SOCKS ou les comportements de proxy non autorisés ;
• les scans lancés depuis des routeurs, pare-feu et caméras ;
• les modifications inattendues du DNS, du pare-feu et des configurations système.

Tout appareil suspect doit être isolé du réseau et analysé conformément aux procédures de l’organisation. Un simple redémarrage peut ne pas suffire à exclure une nouvelle compromission, notamment si le problème initial — vulnérabilité exposée ou identifiants inchangés — demeure présent.

On ignore si Evooo1Bot figure dans le catalogue KEV de la CISA. Aucune date d’ajout ni échéance spécifique imposée aux agences fédérales pour la correction ne semble donc avoir été publiée. La menace reste néanmoins concrète pour toute organisation qui conserve des équipements vulnérables et directement accessibles depuis Internet.