Un botnet modulaire baptisé Evooo1Bot, bâti sur le code source de Mirai, transforme depuis juillet des routeurs et passerelles connectés à internet en relais de trafic anonymisé, selon une analyse publiée le 13 août par Yi Ping Lin, chercheuse au sein des FortiGuard Labs de Fortinet. Le malware ne se contente pas de recruter des machines pour des attaques par déni de service distribué ; il les convertit en nœuds SOCKS5 exploitables comme infrastructure de proxy résidentiel, vole des identifiants au passage et force l’accès SSH avec un dictionnaire de 150 combinaisons orientées comptes d’entreprise.
Le nom « Evooo1Bot » provient d’une chaîne de caractères codée en dur dans chaque binaire, « evooo1 », que la chercheuse a retrouvée dans l’ensemble des échantillons analysés. Douze variantes compilées couvrent autant d’architectures processeur (MIPS, ARM, x86…), ce qui permet au botnet de s’adapter à la quasi-totalité du parc d’équipements embarqués Linux. Une fois l’exploitation réussie, un script télécharge la version adaptée, puis efface l’historique Bash pour brouiller les traces.
Dix vulnérabilités connues, certaines vieilles de près de vingt ans (CVE-2007-3010 sur les Alcatel OmniPCX), servent de vecteurs d’entrée. Les cibles vont des routeurs NETGEAR, Tenda et D-Link aux équipements industriels Mitsubishi Electric, en passant par les passerelles Telesquare. Des modules plus récents visent aussi les caméras Hikvision, les pare-feu Zyxel, les serveurs Atlassian Confluence, les produits WSO2 et même des installations PHP-CGI vulnérables, bien que Fortinet relève que plusieurs de ces exploits sont mal implémentés et échouent à l’exécution.
« Ces capacités placent Evooo1Bot bien au-delà du socle technique des malwares conventionnels dérivés de Mirai », écrit Yi Ping Lin dans son rapport. La remarque se justifie aisément. Le chiffrement des communications C2 repose sur AES-256-CTR, ChaCha20 et une dérivation de clé par XOR, là où Mirai originel dialoguait avec ses opérateurs pratiquement en clair. Le canal de commande, qui transite sur le port 443, propose une interface d’administration à distance de 28 commandes, un shell interactif et des fonctions de transfert de fichiers.
A lire également
Le module SOCKS5 constitue sans doute la pièce maîtresse de l’arsenal. Il fonctionne en écoute directe ou en relais inversé, et plusieurs sessions de proxy tournent simultanément sur un même appareil compromis. Un routeur domestique ou un NAS de PME devient alors, à l’insu de son propriétaire, un point de sortie pour du trafic potentiellement frauduleux, du contournement de restrictions géographiques ou du pivotement vers des réseaux internes. L’adresse IP de la victime se retrouve associée à des activités malveillantes, avec les conséquences réputationnelles et les inscriptions sur listes noires que cela implique. La monétisation par revente de bande passante résidentielle offre aux opérateurs du botnet un flux de revenus parallèle aux traditionnelles attaques DDoS.
Côté persistance, Evooo1Bot ratisse large et s’inscrit dans systemd, SysV init, les profils shell et rc.local, tandis qu’une tâche cron tente de retélécharger la charge utile toutes les cinq minutes. Avant de s’exécuter, le malware vérifie méticuleusement la présence de débogueurs, d’outils de sécurité, de sandboxes, de machines virtuelles, de conteneurs et de honeypots. Un module renifleur d’identifiants surveille /proc/net/tcp pour intercepter les en-têtes d’authentification HTTP Basic et les cookies. Le moteur DDoS hérité de Mirai supporte quant à lui 16 méthodes de flood, dont UDP, DNS, SYN, ACK, GRE, TCP fragmenté et HTTP avec requêtes personnalisables.
Le problème de fond reste celui de la visibilité. Les routeurs, passerelles VPN et caméras IP échappent presque toujours aux agents EDR déployés sur les postes de travail et les serveurs. Le trafic de proxy ressemble à des sessions TCP ordinaires tant qu’on ne compare pas les flux observés à une ligne de base par équipement. Beaucoup d’appareils SOHO n’envoient aucun journal vers un SIEM, ce qui rend la détection structurellement aveugle… à moins d’activer le transfert syslog sur chaque périphérique administré.
La remédiation passe d’abord par un redémarrage des équipements exposés (la charge utile réside largement en mémoire), suivi de la désactivation immédiate de toute interface d’administration côté WAN, de la rotation de l’ensemble des identifiants et de la mise à jour du firmware. Les appareils en fin de vie, pour lesquels le constructeur ne publie plus de correctifs, constituent le carburant principal de ce type de campagne et devraient être remplacés sans attendre. Un filtrage strict du trafic sortant des équipements périphériques, limité aux seules destinations légitimes (NTP, serveurs de mise à jour, plan de gestion), suffirait à neutraliser un nœud relais compromis.
Mirai a été rendu public en septembre 2016 par son créateur, Paras Jha, alors étudiant, dans l’espoir de noyer sa piste sous un déluge d’imitateurs. Neuf ans plus tard, le pari a dépassé toutes les espérances, et Evooo1Bot en est la preuve la plus récente, la plus modulaire et peut-être la plus rentable.
