Evooo1Bot transforme les routeurs exposés en relais SOCKS5 monétisés

Début juillet 2026. Les équipes de Fortinet observent les premières infections d’un nouveau malware. 15 août 2026. Le laboratoire publie son analyse de Evooo1Bot, un botnet Linux modulaire dérivé de Mirai. Entre les deux dates. Des milliers de routeurs et de passerelles exposés sur Internet ont été discrètement transformés en relais de trafic SOCKS5.

Le fait marquant n’est pas le DDoS — Mirai le fait depuis 2016. C’est l’objectif économique du botnet : revendre la bande passante et l’adresse IP de routeurs légitimes comme s’il s’agissait d’un proxy résidentiel loué à la demande.

Un descendant de Mirai qui a appris à se cacher

Evooo1Bot réutilise le moteur de DDoS du code source de Mirai, rendu public il y a une décennie. Mais il le prolonge loin au-delà du simple flood : communications C2 chiffrées sur le port 443, scanner SSH en force brute, module relais SOCKS5, sniffer d’identifiants et un arsenal d’exploits intégré. Le tout s’installe via douze builds distincts, un par architecture de processeur — x86, ARM, MIPS — avant d’effacer l’historique Bash pour masquer la compromission.

La discrétion est devenue un critère de conception. Avant de s’exécuter, le malware contrôle la présence de débogueurs, d’outils de sécurité, de machines virtuelles, de conteneurs et de honeypots. La persistance s’appuie sur systemd, SysV init, les profils de shell et rc.local, doublée d’une tâche cron qui retélécharge la charge utile toutes les cinq minutes. Une machine infectée est verrouillée à double tour.

Mirai a dix ans, et sa descendance n’a jamais cessé de muter

Pour lire Evooo1Bot à sa juste place, il faut remonter à septembre 2016, quand le code source de Mirai a été publié. Trois semaines plus tard, le botnet frappait Dyn, le fournisseur DNS, avec un DDoS record pour l’époque — environ 1,2 Tbit/s — et mettait hors ligne des services comme Twitter, Spotify ou GitHub sur la côte Est des États-Unis. Le code rendu public n’a jamais cessé d’être réutilisé, patché et étendu : chaque nouvelle famille ajoute un module, un vecteur, une méthode de persistance.

Evooo1Bot suit exactement cette trajectoire. Il hérite du moteur DDoS de Mirai, mais sa valeur ne tient pas aux floods : elle tient à ce que le code de 2016 ne savait pas faire — le chiffrement du C2, le sniffing d’identifiants et surtout le relais SOCKS5. La famille récente Dysphoria, signalée sur plus de 200 000 appareils, et Evooo1Bot illustrent la même tendance : le botnet de routeurs n’est plus une arme de destruction, c’est une infrastructure de location.

Le relais SOCKS5, la vraie nouveauté économique

Le module le plus instructif est le relais SOCKS5. Il fonctionne en écoute directe ou en relais inversé, et ouvre plusieurs sessions simultanées. Concrètement : le trafic d’un attaquant — ou d’un client payant — sort de votre routeur, avec votre adresse IP résidentielle, vers sa destination finale.

C’est exactement le mécanisme des services de proxy résidentiel commerciaux, qui louent des millions d’adresses IP domestiques pour contourner des géorestrictions, du rate-limiting ou des listes noires. Fortinet souligne que si le botnet grossit assez, les opérateurs peuvent monétiser cette capacité directement. Votre routeur devient alors un nœud de sortie anonyme pour le trafic de tiers — scraping agressif, credential stuffing, fraudes — sans que votre FAI n’y voie rien d’autre que votre propre usage.

Le sniffer d’identifiants aggrave le tableau : il surveille /proc/net/tcp et capture les en-têtes HTTP Basic Authentication et les cookies qui transitent par la machine. Le scanner SSH, lui, tente 150 combinaisons de comptes orientées entreprise sur les hôtes voisins, avec des vérifications post-connexion destinées à éviter les honeypots.

Qui est visé, et comment l’infection se propage

Fortinet liste les équipementiers touchés depuis juillet : Alcatel, NETGEAR, Tenda, Mitsubishi Electric, Telesquare et D-Link. Le point commun n’est pas le fournisseur, mais la configuration : des passerelles joignables depuis Internet, souvent en fin de support ou laissées avec des identifiants par défaut.

Les builds récents ajoutent un module d’exploitation séparé qui élargit encore la cible : caméras Hikvision, Atlassian Confluence, firewalls Zyxel, routeurs TP-Link, NAS D-Link, produits WSO2, Kubernetes ingress-nginx et installations PHP-CGI vulnérables. Fortinet précise toutefois que certains exploits embarqués sont mal implémentés et échouent — un rappel que les botnets réutilisent souvent du code imparfait, sans que cela réduise leur impact global.

La chaîne est simple : un exploit réussi télécharge l’un des douze builds correspondant à l’architecture, puis l’infection s’installe et se masque. Le module DDoS hérité de Mirai reste disponible en option, avec seize méthodes de flood — UDP, DNS, SYN, ACK, GRE, TCP fragmenté, et un flood HTTP aux requêtes personnalisables.

Ce que votre routeur exposé risque concrètement

Les conséquences se mesurent à trois niveaux. Technique d’abord : une passerelle enrôlée voit sa bande passante consommée, sa latence dégradée et son processeur saturé. Juridique ensuite : si le relais sert à de la fraude ou à des attaques, c’est votre adresse IP qui apparaît dans les journaux de la victime, et c’est à vous de prouver que vous n’êtes pas l’auteur. Sécuritaire enfin : le sniffer et le scanner SSH font de votre routeur un point de pivot vers le reste de votre réseau local — le malware n’a pas besoin d’aller plus loin pour devenir un problème majeur.

Le scénario le plus sournois est celui du relais dormant : un routeur transformé en proxy peut fonctionner des semaines sans signe visible, pendant que sa capacité est louée à des tiers. C’est précisément ce qui rend la détection passive difficile et la prévention décisive.

Comment savoir si votre routeur est déjà enrôlé

La détection d’un routeur compromis est asymétrique : le malware est conçu pour rester silencieux, mais il laisse des traces mesurables. Les signaux à surveiller sont concrets :

• Trafic sortant anormal : des connexions SOCKS5 ou HTTPS vers des destinations inhabituelles, en particulier sur le port 443 vers des hôtes sans lien avec vos usages.
• Tâches planifiées suspectes : une entrée cron qui retélécharge un binaire toutes les quelques minutes est la signature exacte d’Evooo1Bot.
• Charge processeur et mémoire : un routeur qui travaille alors que personne ne l’utilise mérite une inspection.
• Comportement réseau : une passerelle qui se met à scanner en SSH les machines voisines a cessé d’être neutre.

Face à un doute, la réponse la plus fiable n’est pas de « nettoyer » : c’est de réinitialiser l’équipement en usine, de réinstaller le firmware depuis une source officielle, puis de reconfigurer avec des identifiants neufs. Un routeur qui a été compromis ne se répare pas à moitié — il se reflashe ou se remplace.

Verdict

Si vous gérez un parc de routeurs ou de passerelles, commencez par un recensement : quels équipements sont joignables depuis Internet, et lesquels n’ont plus de support constructeur. Pour chaque équipement exposé, appliquez trois mesures dans l’ordre : mettez à jour le firmware, remplacez les identifiants par défaut, et désactivez l’administration distante (WAN) au profit d’un accès via VPN. Un équipement en fin de vie doit être remplacé, pas seulement isolé.

Si vous défendez un réseau d’entreprise, surveillez les signaux de ce type de botnet : trafic sortant SOCKS5 vers des destinations inhabituelles sur le port 443, tâches cron qui retéléchargent des binaires, et tentatives SSH répétées vers les hôtes internes depuis un équipement de périphérie. Un routeur qui se met à scanner ses voisins en SSH n’est plus votre routeur.

Le signal de fond est que la frontière entre malware opportuniste et infrastructure commerciale se dissout : Evooo1Bot n’est qu’un maillon d’une chaîne où la bande passante résidentielle se négocie comme une marchandise. Votre routeur est le bien le plus facile à perdre de votre réseau — et le plus rentable à voler.

Références

• BleepingComputer — New Evooo1Bot Linux botnet turns routers into traffic relay nodes, 15 août 2026
• Fortinet — Evooo1Bot: analysis of a modular Mirai-based Linux botnet (rapport cité par BleepingComputer), consulté le 16 août 2026