Evooo1Bot : le botnet Linux qui transforme vos routeurs en proxies SOCKS5

Un botnet Linux qui redéfinit l exploitation des équipements de périphérie

Les chercheurs de FortiGuard Labs, la division de threat intelligence de Fortinet, ont publié mi-août 2026 l analyse technique d un nouveau botnet Linux jusqu alors inconnu, baptisé Evooo1Bot. La dénomination provient de la chaîne de caractères hardcodée evooo1 présente dans l ensemble des binaires compilés pour ce malware. Les premières traces d activité remontent à juillet 2026, et depuis lors le réseau de bots ne cesse d étendre son emprise, ciblant principalement les équipements de périphérie réseau — routeurs, caméras IP, firewalls embarqués — directement exposés sur Internet.

Ce qui distingue Evooo1Bot de la majorité des botnets dérivés de Mirai, c est la richesse fonctionnelle de son arsenal. Si le code Mirai original — dont la fuite des sources en 2016 a engendré des dizaines de variants — constitue le socle du moteur d attaque par déni de service distribué (DDoS), Evooo1Bot l augmente de plusieurs modules offensifs qui en font une plateforme cybercriminelle à part entière. Parmi ces composants : un scanner de bruteforce SSH, un sniffer de credentials réseau, un module de commande et contrôle (C2) avec communications chiffrées, et surtout un module SOCKS5 de relais réseau qui constitue la principale innovation documentée dans cette famille de malware.

Le module SOCKS5 mérite une attention particulière des équipes sécurité. Lorsque l opérateur envoie la commande !socks à un hôte compromis, celui-ci ouvre un listener SOCKS5 sur le port TCP 1080 par défaut et attend des connexions clientes entrantes. En mode direct, l appareil infecté sert lui-même de proxy, masquant l origine réelle du trafic malveillant derrière une adresse IP résidentielle ou d entreprise légitime. En mode relais, plusieurs nœuds peuvent être chaînés pour complexifier encore davantage la traçabilité du flux. D après l analyse publiée par BleepingComputer et The Hacker News, ce type de fonctionnalité est très prisé sur les marchés cybercriminels : un réseau de proxies SOCKS5 composé de routeurs, caméras et firewalls compromis — arborant des adresses IP résidentielles ou professionnelles — se revend ou se loue à des prix élevés à d autres groupes cherchant à contourner les géo-blocages ou à dissimuler leurs activités derrière des adresses IP de confiance.

L arsenal d exploitation d Evooo1Bot cible dix vulnérabilités connues affectant des équipements de plusieurs fabricants : Alcatel, NETGEAR, Tenda, Mitsubishi Electric, Telesquare et D-Link. Ces vulnérabilités portent sur des failles d injection de commandes, d exécution de code à distance ou de contournement d authentification présentes dans les interfaces d administration web de ces périphériques. Le fait que toutes ces failles soient déjà connues — et pour la plupart corrigées dans les versions récentes des firmwares — illustre un problème structurel bien documenté dans le secteur : la lente adoption des mises à jour sur les équipements de périphérie, particulièrement dans les PME, les sites industriels et les environnements de télétravail.

Une fois l appareil compromis, Evooo1Bot établit une communication chiffrée avec son infrastructure de commande et contrôle. Contrairement aux implémentations Mirai basiques qui utilisent des protocoles en clair facilement détectables par les outils d inspection réseau profonde (DPI), cette couche de chiffrement des communications complique significativement la détection par les solutions de monitoring réseau traditionnelles et allonge le temps de réponse des équipes sécurité.

Le scanner de bruteforce SSH intégré au botnet lui permet de se propager latéralement sur d autres équipements accessibles avec des credentials par défaut ou faibles. Ce mécanisme de propagation autonome confère à Evooo1Bot des capacités auto-réplicantes qui accélèrent l expansion du réseau de bots sans intervention manuelle des opérateurs. La combinaison de l exploitation de vulnérabilités connues et du bruteforce SSH explique en partie la rapidité avec laquelle le botnet a étendu son réseau depuis juillet 2026, selon Infosecurity Magazine qui relayait l analyse initiale de Fortinet.

Le credential sniffer constitue le quatrième module notable de l arsenal. Déployé sur des équipements réseau traversés par des flux d authentification — routeurs en cœur de réseau, concentrateurs VPN, firewalls — il peut intercepter des informations d identification transitant en clair ou dans des protocoles peu sécurisés comme Telnet, FTP ou HTTP Basic Auth. Ces credentials récupérés peuvent ensuite alimenter d autres campagnes d attaque ou être revendus sur des marchés cybercriminels spécialisés en accès initiaux. À ce jour, FortiGuard Labs n a pas encore attribué Evooo1Bot à un groupe de menaces connu, mais l infrastructure C2 reste active et le botnet continue de recruter de nouveaux hôtes compromis à travers le monde.

Dark Reading souligne dans son analyse que l approche modulaire d Evooo1Bot — où chaque capacité offensive peut être activée ou désactivée à la demande depuis le serveur C2 — représente une évolution significative par rapport aux botnets Mirai de première génération, dont la mono-fonctionnalité DDoS limitait les possibilités de monétisation pour les opérateurs. Avec un botnet capable simultanément de louer des proxies, de sniffer des credentials et de lancer des attaques volumétriques, les revenus potentiels pour les cybercriminels sont démultipliés.

Pourquoi les botnets de périphérie réseau représentent une menace croissante pour les entreprises

La découverte d Evooo1Bot s inscrit dans une tendance de fond qui inquiète depuis plusieurs années les équipes de threat intelligence : la militarisation progressive des équipements de périphérie réseau. Routeurs grand public et d entrée de gamme, caméras IP, NAS, firewalls à faible coût constituent ce que l on appelle le edge — la frontière entre le réseau interne d une organisation et Internet. Ces appareils sont par nature exposés, tournent souvent sur des systèmes embarqués basés sur Linux avec des noyaux vieillissants, disposent de ressources limitées incompatibles avec des agents de sécurité endpoint, et reçoivent des mises à jour rarement appliquées dans les faits.

L économie sous-jacente au marché des proxies SOCKS5 et résidentiels explique en grande partie l attrait grandissant de ces botnets pour les opérateurs cybercriminels. Une adresse IP résidentielle ou d entreprise — par opposition à une adresse hébergée dans un datacenter facilement blacklistée par les systèmes de détection de fraude — vaut entre quelques centimes et plusieurs dollars la session sur les marchés spécialisés. Un botnet de plusieurs milliers d équipements compromis peut donc générer des revenus passifs considérables pour ses opérateurs, indépendamment de toute campagne DDoS active. Des acteurs comme les opérateurs du service proxy-as-a-service 911 S5 — démantelé par le FBI en 2024 après avoir compromis 19 millions d adresses IP — avaient bâti des empires commerciaux sur ce même modèle avant d être neutralisés.

Pour les entreprises, le risque dépasse la simple compromission d un routeur ou d une caméra IP. Un équipement réseau transformé en nœud de relais SOCKS5 peut servir à des acteurs malveillants pour conduire des campagnes de credential stuffing contre d autres cibles, en empruntant l identité réseau de l entreprise victime. Cela peut entraîner l inscription de l adresse IP de l organisation dans des listes noires de réputation, perturber les services légitimes, et exposer l organisation à des enquêtes si du trafic illicite transite via son infrastructure. Dans les secteurs régulés — finance, santé, défense, énergie — une telle compromission peut déclencher des obligations de notification aux autorités au titre du RGPD ou de la directive NIS2.

La réponse reste souvent insuffisante dans les organisations. Les équipements de périphérie réseau souffrent d un déficit chronique de visibilité dans les programmes de gestion des vulnérabilités : ils n apparaissent pas toujours dans les bases CMDB, ne supportent pas d agents de sécurité standard, et leurs interfaces d administration sont rarement auditées avec la même rigueur que les serveurs d application. Le rapport de FortiGuard Labs sur Evooo1Bot devrait inciter les RSSI à réévaluer leur surface d exposition côté edge et à intégrer explicitement ces équipements dans leurs processus de patch management, de segmentation réseau et de surveillance des flux sortants anormaux.

Ce qu il faut retenir

• Evooo1Bot est un botnet Linux multi-fonctions dérivé de Mirai qui va bien au-delà du DDoS : bruteforce SSH, capture de credentials, relais SOCKS5 — une évolution majeure dans la sophistication des botnets ciblant les équipements de périphérie.
• Dix vulnérabilités connues sur des équipements Alcatel, NETGEAR, Tenda, Mitsubishi Electric, Telesquare et D-Link sont activement exploitées : la mise à jour immédiate des firmwares est le premier rempart contre cette menace.
• Désactiver les interfaces d administration exposées sur Internet, changer les credentials par défaut, et surveiller les connexions sortantes inhabituelles sur le port TCP 1080 sont les trois actions prioritaires à mettre en œuvre sans délai.