Yoan AGOSTINI

Yoan AGOSTINI

1337 G33k

Evooo1Bot Linux Botnet Exploits Known Flaws to Turn Edge Devices Into SOCKS5 Proxies

1 minute de lecture

Mis à jour :

Émergence du botnet Evooo1Bot : Menace sur les équipements de périphérie

Evooo1Bot est un botnet Linux multifonctionnel basé sur le code source de Mirai. Actif depuis juillet 2026, il cible des appareils exposés sur Internet (routeurs, pare-feux, caméras IP) pour les transformer en relais de proxy SOCKS5, facilitant ainsi l’anonymisation des activités malveillantes et l’accès aux réseaux internes.

Points clés :

  • Infiltration : Utilisation d’un script de chargement (wget.sh) qui supprime l’historique Bash pour effacer les traces.
  • Communication : Échanges chiffrés avec le serveur de commande (C2) via le port 443 pour se fondre dans le trafic HTTPS légitime.
  • Capacités : Persistance, exfiltration de données, scan SSH par force brute, exécution de commandes à distance et attaques DDoS (DNS, TCP, UDP).
  • Évasion : Détection active d’outils d’analyse, de sandboxes et d’environnements virtuels.

Vulnérabilités exploitées (liste non exhaustive) : Le botnet intègre un arsenal d’exploits ciblant de nombreuses failles connues :

  • Routeurs et équipements réseau : CVE-2007-3010, CVE-2016-6277, CVE-2018-14558, CVE-2020-10987, CVE-2021-46422, CVE-2022-37055, CVE-2024-29269, CVE-2025-10123, CVE-2025-55583.
  • Autres cibles (Hikvision, Atlassian, Zyxel, etc.) : CVE-2021-36260, CVE-2022-26134, CVE-2022-29464, CVE-2022-30525, CVE-2023-1389, CVE-2024-4577, CVE-2024-10914, CVE-2025-1974.

Recommandations :

  • Mise à jour immédiate : Appliquer systématiquement les correctifs de sécurité fournis par les constructeurs pour les équipements de périphérie.
  • Réduction de la surface d’attaque : Désactiver les services d’administration à distance (SSH/Web) exposés directement sur Internet et restreindre l’accès par filtrage IP.
  • Surveillance réseau : Surveiller les flux sortants inhabituels sur le port 443 et détecter les comportements de type proxy ou les tentatives de scan SSH provenant de périphériques IoT.
  • Durcissement : Modifier les identifiants par défaut et isoler les équipements critiques sur des segments réseau distincts.

Source

Vous pourriez aimer