Vos équipements réseau Linux sous la menace ! Le botnet Evooo1Bot détourne routeurs et caméras pour créer des relais proxy SOCKS5 invisibles. Découvrez l’analyse des chercheurs de Fortinet.
Certes, la réutilisation du code source de Mirai pour mener des attaques par déni de service distribué est une pratique éprouvée, mais la sophistication des logiciels malveillants s’attaque désormais directement aux accès périphériques des réseaux. Dans une étude publiée par FortiGuard Labs, l’équipe de recherche en cybersécurité de Fortinet dévoile l’existence d’Evooo1Bot.
Actif depuis au moins juillet 2026, ce botnet ciblant les systèmes Linux ne se contente pas d’inonder le réseau : il transforme les routeurs, pare-feux et caméras IP compromis en une infrastructure de relais proxy persistante. Cette menace modulaire s’en prend aux équipements exposés sur Internet en combinant un moteur d’attaque redoutable avec des fonctionnalités d’anonymisation avancées pour les cybercriminels.
SOCKS5 inverse et furtivité : le véritable danger opérationnel
Contrairement aux botnets conventionnels, la force opérationnelle d’Evooo1Bot réside dans son module de relais SOCKS5 inverse. Au lieu d’ouvrir un port d’écoute sur la machine cible (ce qui déclencherait immédiatement une alerte sur les équipements de sécurité), le logiciel malveillant établit une connexion sortante chiffrée sur le port 443 vers le serveur de commande (C2) de l’attaquant.
Ce canal permet aux pirates de faire transiter leur propre trafic malveillant à travers l’adresse IP de la victime, masquant leur véritable origine géographique et leur offrant un point d’appui privilégié pour pivoter vers les réseaux internes des entreprises.
Un arsenal d’exploits et des mécanismes de persistance agressifs
Pour infecter un maximum d’équipements en périphérie, Evooo1Bot embarque une chaîne de déploiement capable de détecter l’architecture CPU de la cible et de télécharger la variante binaire adaptée parmi 12 architectures différentes. L’outil intègre également un scanner SSH doté d’un dictionnaire de plus de 150 identifiants, ciblant aussi bien les mots de passe IoT par défaut que des comptes de service d’entreprise (Jenkins, Postgres, Oracle).
Le fonctionnement du programme repose sur plusieurs piliers techniques :
- Évasion et détection de pot de miel (honeypots) : avant toute infection, le scanner vérifie la bannière SSH et exécute des commandes d’inspection système pour abandonner la cible si un environnement virtuel ou un pot de miel (Cowrie, Kippo) est détecté.
- Évasion d’analyse : le binaire recherche la présence de plus de 40 outils de sécurité (GDB, Wireshark, Ghidra, YARA) et de bacs à sable avant d’initier ses communications chiffrées (AES-256-CTR, ChaCha20).
- Persistance système : le malware s’installe simultanément via un service systemd déguisé en Apache HTTPD Cache Manager, des tâches cron exécutées toutes les 5 minutes, des scripts d’initialisation SysV et des injections dans les profils shell.
- Arsenal d’exploits massif : le binaire cible des vulnérabilités d’injection de commandes couvrant des équipements D-Link, NETGEAR, Tenda, Alcatel, Zyxel ou TP-Link, avec des failles s’étalant de 2007 à 2025/2026.
Face à cette menace capable de transformer n’importe quel équipement d’extrémité en proxy résidentiel ou d’entreprise, Fortinet recommande aux administrateurs de ne plus considérer les routeurs et appliances comme de simples risques de saturation DDoS, mais comme des passerelles d’intrusion prioritaires. La mise à jour impérative des micrologiciels, la vérification des tâches cron non autorisées et la surveillance des connexions SOCKS sortantes anormales constituent la première ligne de défense.
🦋 L’actualité de l’open source en français dans votre flux. Suivez Goodtech sur Bluesky (ou vos applications AT Protocol comme W Social et Mu) grâce à notre compte officiel. Suivez, partagez, abonnez-vous à @goodtech.info !
