Les chercheurs en cybersécurité ont mis en lumière une nouvelle famille de botnets Linux : Evooo1Bot botnet Linux. D’après les analyses de FortiGuard Labs, cette menace, initialement conçue à partir du code Mirai, cible des appareils exposés sur Internet et les transforme en nœuds capables de relayer des connexions via des proxys SOCKS5.
Le point marquant n’est pas uniquement l’exploitation de failles, mais l’arsenal fonctionnel qui suit : communications chiffrées, détection d’environnements d’analyse, prise de contrôle à distance, collecte d’informations, et surtout un module de proxy. Dans ce contexte, les équipements de bord (routeurs, caméras IP, pare-feu et autres dispositifs d’accès) deviennent des infrastructures utiles à l’attaquant.
Un botnet inspiré de Mirai, renforcé pour l’exploitation
Selon Fortinet FortiGuard Labs, Evooo1Bot botnet Linux réutilise le moteur de DDoS de Mirai, un code qui a été rendu public dans le cadre d’une fuite. Toutefois, la variante observée ne se limite pas au mécanisme initial : elle ajoute de nombreuses capacités supplémentaires destinées à accroître la persistance, la furtivité et l’efficacité opérationnelle.
Parmi les fonctions rapportées figurent :
- des échanges chiffrés avec le serveur de commande et contrôle (C2) ;
- un scanner de mots de passe via force brute sur SSH ;
- un module de relais SOCKS ;
- un sniffer pour récupérer des identifiants (selon les détails fournis dans l’analyse) ;
- un ensemble d’exploits visant des vulnérabilités documentées.
Activité en conditions réelles depuis juillet 2026
Les éléments recueillis indiquent que le botnet serait actif dans la nature depuis juillet 2026. Les attaques s’appuieraient sur des vulnérabilités connues dans des appareils accessibles publiquement, ce qui permet la propagation puis l’exécution de la charge utile.
L’analyse liste plusieurs failles traitées par le module d’attaque. Certaines concernent des routeurs de marques grand public, tandis que d’autres touchent des dispositifs et services plus variés. L’objectif reste identique : obtenir l’exécution de code à distance, puis installer le composant malveillant adapté à l’équipement visé.
Exemples de vulnérabilités exploitées
Le rapport met notamment en avant des CVE associées à des scénarios d’exécution de code à distance ou d’injection de commandes. Parmi celles mentionnées :
- CVE-2007-3010 : exécution de code à distance sur Alcatel OmniPCX Enterprise ;
- CVE-2016-6277 : exécution de code à distance sur routeurs NETGEAR ;
- CVE-2018-14558 : injection de commande sur routeurs Tenda AC7/AC9/AC10 ;
- CVE-2019-14931 : injection de commande sur appareils ME-RTU et INEA ME-RTU ;
- CVE-2020-10987 : exécution de code à distance sur routeurs Tenda (AC15/AC1900) ;
- CVE-2021-46422 : injection de commande sur Telesquare SDT-CW3B1 ;
- CVE-2022-37055 : débordement de tampon sur routeurs D-Link ;
- CVE-2024-29269 : injection de commande sur Telesquare TLR-2005KSH ;
- CVE-2025-10123 : injection de commande sur D-Link DIR-823X ;
- CVE-2025-55583 : injection de commande sur D-Link DIR-868L B1.
Le rapport ajoute également un module d’attaque couvrant huit vulnérabilités associées à plusieurs plateformes ou produits. Dans cette liste, on retrouve notamment des références à des composants liés à Hikvision, Atlassian Confluence, WSO2, Zyxel, TP-Link, PHP, D-Link et Kubernetes (les CVE sont détaillées dans la source).
De la compromission au chargement : wget.sh et nettoyage des traces
Lorsqu’une exploitation réussit, la suite du processus passe par l’exécution d’un script de charge utile nommé wget.sh. Celui-ci serait hébergé sur un serveur externe (mentionné dans l’analyse) puis utilisé pour récupérer la charge binaire compatible avec l’architecture du processeur de l’appareil ciblé.
Un élément de furtivité est également signalé : le script effacerait l’historique Bash afin de réduire les traces laissées sur la machine compromise. Ce type de nettoyage s’inscrit dans une logique fréquente chez les opérateurs de botnets : rendre l’incident plus difficile à diagnostiquer, notamment lors d’une investigation rapide.
Command-and-control chiffré sur le port 443
Avant d’établir une communication avec l’infrastructure de l’attaquant, le binaire procéderait à des vérifications. Il chercherait en particulier la présence d’outils d’analyse, de sandboxes et d’environnements virtuels.
Ensuite, la menace met en place des communications chiffrées avec le serveur de commande et contrôle via le port 443. Le choix de ce port n’est pas anodin : il correspond à un trafic HTTPS “attendu” au périmètre réseau, ce qui peut contribuer à masquer la nature des échanges au niveau des systèmes de supervision.
Une fois l’hôte enregistré auprès du C2, le bot attend des instructions pour lancer des actions supplémentaires.
Des commandes qui transforment l’équipement en outil opérationnel
Le botnet prend en charge différentes commandes susceptibles d’être utilisées par un opérateur. Le rapport mentionne notamment la capacité à :
- installer des mécanismes de persistance ;
- mettre à jour le binaire ;
- terminer le bot ;
- téléverser/télécharger des fichiers ;
- déclencher un shell interactif ;
- intercepter certains éléments liés à l’authentification HTTP (par exemple en relation avec des en-têtes Basic Authorization et des cookies) ;
- activer une fonction de proxy ;
- lancer un scanner SSH par force brute ;
- provoquer des attaques de type DDoS via DNS, TCP et UDP ;
- utiliser un mécanisme d’envoi d’exploits via HTTP pour tirer parti de vulnérabilités connues.
En d’autres termes, Evooo1Bot botnet Linux n’est pas seulement un agent d’infection : il constitue aussi une brique d’orchestration permettant d’enchaîner reconnaissance, compromission et exploitation, tout en offrant des leviers pour contrecarrer la détection.
Le module proxy SOCKS5 : un levier de furtivité et de monétisation
La fonctionnalité la plus structurante, d’après l’analyse, est le module de proxy. Après compromis, la menace ferait en sorte que l’équipement (routeur, pare-feu, caméra IP ou autre appareil de bord) devienne un proxy SOCKS5. Concrètement, cela permet à l’attaquant de relayer des connexions et de poursuivre des opérations ultérieures en s’appuyant sur l’adresse IP du système infecté.
Fortinet souligne que cette capacité augmente fortement la valeur d’une machine compromise. L’IP de la victime peut, par exemple, servir à :
- masquer des communications malveillantes ;
- contourner des restrictions géographiques ;
- obtenir un accès à des réseaux internes via une machine déjà compromise.
Dans le cas de botnets plus importants, le même principe peut aider à construire une infrastructure de relais distribuée, avec des perspectives d’anonymisation du trafic et, dans certains scénarios, une monétisation via des services de proxy résidentiels ou d’entreprise.
Ce que cela implique pour les organisations
Le scénario décrit illustre un risque fréquent : des appareils de bord non correctement maintenus deviennent une porte d’entrée. Le fait que le botnet s’appuie sur des vulnérabilités connues renforce l’idée qu’une réduction du risque passe surtout par l’hygiène de maintenance et la limitation de l’exposition.
En pratique, les équipes réseau et sécurité peuvent agir sur plusieurs leviers : mettre à jour les équipements, vérifier l’accessibilité depuis Internet, durcir les services d’administration (notamment SSH), et surveiller les signaux réseau pouvant correspondre à des communications “type HTTPS” sur le port 443.
Conclusion
Le Evooo1Bot botnet Linux illustre l’évolution des botnets : il combine exploitation de failles déjà documentées, contrôle à distance chiffré et capacités orientées “opérations”, dont un module de proxy SOCKS5. En transformant des équipements exposés en relais réseau, la menace augmente sa capacité à masquer l’activité de l’attaquant et à enchaîner des actions après la compromission.
Face à ce type de campagne, la priorité reste de réduire la surface d’attaque : corriger les vulnérabilités, limiter l’exposition des appareils d’accès et renforcer la surveillance pour repérer les comportements anormaux dès les premières phases.
Source: https://thehackernews.com/2026/08/evooo1bot-linux-botnet-exploits-known.html
