Ton routeur n’intéresse pas que toi. Depuis juillet, un botnet appelé Evooo1Bot le traque, lui et des millions d’autres équipements connectés, avec une idée simple : le transformer en proxy pour faire passer du trafic criminel sous ton adresse IP. Voici comment ça marche, qui est visé, et les gestes qui peuvent t’éviter d’être le prochain.
Evooo1Bot n’est pas une nouveauté sortie de nulle part : c’est un descendant du code source de Mirai, le botnet qui avait secoué Internet en 2016 et dont le code traîne en open source depuis. Il reprend la recette d’autres familles de malwares Linux dont on te parlait déjà, comme Tengu, le botnet qui redémarre ta machine, mais il pousse le métier un cran plus loin.
Un botnet qui recycle la vieille recette de Mirai
Les chercheurs de FortiGuard Labs, la division sécurité de Fortinet, ont publié leur analyse le 13 août après avoir repéré un trafic suspect dès juillet. Le malware exploite des failles connues sur des équipements de marques très répandues : Alcatel, NETGEAR, Tenda, Mitsubishi Electric, Telesquare et plusieurs modèles de D-Link.
Le détail qui fait froid dans le dos : la faille la plus ancienne de la liste date de 2007. Des équipements vieux de presque vingt ans, jamais mis à jour, restent parfaitement exploitables. Quand une box tombe, le script pirate télécharge l’une des douze versions du programme adaptées à son processeur, puis efface les traces de son passage.
Source : FortiGuard Labs — figure « C2 Telemetry » du rapport du 13 août 2026.
Pourquoi ton routeur intéresse un pirate
Un botnet, ce n’est pas qu’une armée de machines qui attaquent. Le vrai business d’Evooo1Bot, c’est le relais de trafic : la box infectée devient un proxy SOCKS5, un point de passage que les criminels utilisent pour faire remonter leurs connexions sous une adresse IP qui n’est pas la leur.
Concrètement, ton routeur peut servir à contourner des restrictions géographiques, à lancer des attaques sans se faire remonter jusqu’à son vrai propriétaire, ou à alimenter des services de proxys résidentiels — un marché où des adresses IP de vraies maisons se louent à la journée.
Source : FortiGuard Labs — figure « SOCKS relay » du même rapport.
Le malware ne s’arrête pas là : il espionne les identifiants qui passent par la machine, tente de forcer des connexions SSH avec un dictionnaire de 150 mots de passe, et peut lancer des attaques par déni de service avec seize méthodes différentes. Le tout en parlant à son serveur de commande sur un canal chiffré qui se fond dans le trafic HTTPS normal.
Et chez moi, je fais quoi ?
Bonne nouvelle : Evooo1Bot ne vise pas les machines à jour. Les failles qu’il exploite sont connues et corrigées, pour la plupart, depuis des années. Le problème, c’est que les box exposées sur Internet sont scannées en permanence — y compris par des bots qui se font passer pour des IA — et que personne ne met à jour son routeur tout seul.
Les gestes qui comptent, dans l’ordre : vérifier que le firmware de ton routeur est à jour, changer le mot de passe admin par défaut, désactiver l’administration à distance si tu ne t’en sers pas, et remplacer un équipement que son fabricant ne supporte plus. Si ta box a plus de dix ans et ne reçoit plus de mise à jour, c’est le premier candidat au remplacement.
Et si tu veux un signe qui ne trompe pas : un routeur qui envoie du trafic vers l’extérieur sans raison, jour et nuit, mérite une inspection. Comme pour les botnets précédents, le bon réflexe reste le même : un équipement à jour est un équipement que les pirates préfèrent laisser tranquille.
Choisis ton camp
Evooo1Bot ne réinvente pas la cyberattaque : il industrialise une recette connue en la déguisant en trafic normal. La prochaine victime ne sera pas le geek paranoïaque, mais le voisin qui n’a jamais touché aux réglages de sa box. À toi de choisir.
Sources
Fortinet — analyse du botnet Evooo1Bot par FortiGuard Labs, 13 août 2026 : lire le rapport
BleepingComputer — « New Evooo1Bot Linux botnet turns routers into traffic relay nodes », 15 août 2026 : lire l’article
GBHackers — « Evooo1Bot Turns Compromised Routers Into DDoS Bots and Anonymous Proxy Nodes », 17 août 2026 : lire l’article
—
Recherche, relecture et illustration assistées par IA. Le contenu reflète le travail éditorial de la rédaction.
No comments yet