Evooo1Bot transforme les passerelles Linux en relais SOCKS5 pour mener des attaques et voler des identifiants

Un nouveau botnet cible les appareils exposés

Evooo1Bot est un botnet Linux modulaire dérivé de Mirai, observé au moins depuis juillet et signalé le 15 août 2026. L’opération cible des appareils passerelles accessibles depuis Internet afin de les transformer en nœuds de trafic SOCKS5 et en plateformes pour d’autres attaques.

Les appareils concernés proviennent d’au moins six fabricants : Alcatel, NETGEAR, Tenda, Mitsubishi Electric, Telesquare et D-Link. Les versions exactes des produits vulnérables n’ont pas été communiquées.

L’infection exploite des vulnérabilités déjà connues sur les appareils exposés. Les versions récentes d’Evooo1Bot intègrent également des modules visant les caméras Hikvision, Atlassian Confluence, les pare-feu Zyxel, les routeurs TP-Link, les appareils NAS D-Link, les produits WSO2, Kubernetes ingress-nginx ainsi que les installations vulnérables de PHP-CGI.

Tous les exploits ne semblent pas fonctionner correctement. Fortinet indique que certains ont été mal implémentés et n’aboutissent donc pas à une compromission effective. Lorsque l’attaque réussit, l’appareil télécharge le malware compatible avec son architecture.

Douze builds et une chaîne de persistance

Evooo1Bot existe en 12 builds différentes. L’échantillon sélectionne celle qui correspond au processeur de l’appareil compromis, ce qui augmente les chances d’exécution sur des équipements de passerelle hétérogènes.

Avant de démarrer, le malware recherche les débogueurs, les outils de sécurité, les sandboxes, les machines virtuelles, les conteneurs et les honeypots. L’objectif est de limiter les risques d’analyse et d’empêcher l’observation de l’infection dans des environnements contrôlés.

La persistance peut être configurée au moyen de plusieurs mécanismes Linux :

• services systemd ;
• scripts SysV init ;
• profils du shell ;
• rc.local ;
• tâches cron.

La tâche cron tente de télécharger à nouveau le payload toutes les cinq minutes. Ce comportement peut permettre au malware de se réinstaller après la suppression du processus principal ou après une intervention partielle.

À la fin de l’infection, Evooo1Bot efface l’historique Bash. Cette mesure réduit les traces laissées par les commandes exécutées lors de l’accès et de la configuration de l’appareil.

Une infrastructure dédiée aux proxys, aux attaques DDoS et aux accès abusifs

Le botnet conserve le moteur d’attaque DDoS dérivé du code source de Mirai, publié illégalement, mais l’enrichit de fonctionnalités supplémentaires.

Les communications avec l’infrastructure de commande et de contrôle sont chiffrées sur le port 443. Le malware fournit également un shell interactif, des commandes de téléversement et de téléchargement de fichiers ainsi qu’un scanner SSH qui tente de se connecter avec 150 combinaisons de noms d’utilisateur et de mots de passe ciblant notamment les comptes professionnels.

Après une connexion SSH réussie, le code effectue des vérifications pour éviter les honeypots. Le botnet ne se contente donc pas d’exploiter automatiquement des vulnérabilités : il peut aussi se propager grâce à des identifiants faibles ou réutilisés.

Le composant SOCKS5 fonctionne selon deux modes :

• écoute directe sur l’appareil compromis ;
• relais inversé vers l’infrastructure de l’attaquant.

Les sessions proxy sont indépendantes et peuvent être ouvertes simultanément. Un appareil infecté peut ainsi relayer du trafic, masquer l’origine d’activités malveillantes, contourner des restrictions géographiques ou faciliter l’accès à des réseaux accessibles depuis la passerelle.

Fortinet estime qu’une croissance importante du botnet pourrait soutenir des services de proxy résidentiels. Dans ce scénario, des appareils professionnels ou domestiques compromis deviendraient partie intégrante d’un réseau monétisable de relais de trafic.

Le module DDoS prend en charge 16 techniques de flood, notamment UDP, DNS, SYN, ACK, GRE, TCP fragmenté et HTTP. Les requêtes HTTP peuvent être personnalisées afin d’adapter l’attaque à la cible.

Le risque pour les identifiants et les réseaux internes

Evooo1Bot intègre un module de capture d’identifiants qui surveille /proc/net/tcp. Ce composant cherche à intercepter les en-têtes HTTP Basic Authentication et les cookies transmis par les connexions observées.

Le risque ne se limite donc pas à la consommation de bande passante ou à l’utilisation de l’appareil comme relais. Les identifiants capturés peuvent permettre de nouveaux accès à des panneaux d’administration, à des applications internes ou à d’autres systèmes utilisant des mots de passe réutilisés.

Une passerelle compromise peut également servir de point de départ à des activités visant des réseaux qui ne sont normalement pas exposés directement à Internet. La fonction de relais inversé facilite l’utilisation de l’appareil comme intermédiaire.

La source n’attribue pas à Evooo1Bot de score de gravité chiffré. Le risque opérationnel reste toutefois élevé : un même équipement peut être utilisé simultanément pour du brute force SSH, le vol d’identifiants, des attaques DDoS et la dissimulation du trafic.

La persistance et le téléchargement du payload toutes les cinq minutes compliquent les opérations de remédiation incomplètes. Redémarrer l’appareil ou arrêter un seul processus peut ne pas suffire.

Mesures recommandées aux administrateurs

La première mesure consiste à mettre à jour le firmware des appareils concernés lorsque le fabricant fournit encore des correctifs. Les versions vulnérables précises n’ayant pas été communiquées, les administrateurs doivent consulter les avis de sécurité correspondant au modèle installé, et pas uniquement à la marque.

Il faut également :

• remplacer les identifiants administratifs par défaut ;
• utiliser des mots de passe uniques et robustes ;
• désactiver les interfaces d’administration à distance non indispensables ;
• limiter l’administration aux réseaux ou adresses autorisés ;
• remplacer les appareils qui ne sont plus pris en charge par leur fabricant.

Pour l’analyse, il convient de rechercher les processus ou services inattendus ainsi que les modifications apportées à systemd, à SysV init, à rc.local, aux profils du shell et aux crontab. Une activité de téléchargement répétée toutes les cinq minutes, ainsi que des connexions chiffrées inhabituelles sur le port 443, doivent faire l’objet d’une attention particulière.

Les administrateurs doivent également vérifier :

• la présence d’un trafic SOCKS5 inattendu ;
• les connexions SSH sortantes vers de nombreuses adresses ;
• les tentatives d’authentification répétées ;
• le trafic DDoS généré par la passerelle ;
• les accès à des fichiers ou configurations contenant des identifiants ;
• l’exposition potentielle de cookies ou d’en-têtes Basic Authentication.

En cas de compromission, l’appareil doit être isolé du réseau, analysé puis restauré avec un firmware fiable. Après la remédiation, il est recommandé de renouveler les identifiants administratifs ainsi que ceux ayant éventuellement transité par l’appareil.

On ignore si Evooo1Bot figure dans le catalogue KEV de la CISA ; aucune date d’ajout ni échéance de mitigation ne sont disponibles. Le catalogue ne mentionne pas non plus d’antécédents récents du même fabricant.

Les identifiants valides restent un point faible

Un élément de contexte provient de The Blue Report 2026, fondé sur 338 millions de simulations menées dans les environnements de production des clients. Selon ce rapport, lorsqu’un attaquant dispose d’identifiants valides, il n’est bloqué que dans 37 % des actions.

Cette donnée ne mesure pas directement Evooo1Bot, mais elle permet de mieux comprendre le risque associé à son module de capture d’identifiants et à son scanner SSH. La protection de la passerelle ne peut pas se limiter à la recherche d’exploits : elle doit également inclure une authentification forte, la segmentation du réseau et la surveillance des accès suivant la compromission initiale.