Un nouveau botnet loue des routeurs domestiques comme proxys, peut-être le vôtre
Votre routeur ne reçoit aucune attention. Il clignote dans un coin depuis cinq ou six ans et personne ne s'y connecte depuis le jour de son installation. C'est précisément ce qui séduit celui ou celle qui dirige Evooo1Bot.
Les chercheurs de Fortinet ont publié leur analyse le 13 août : un botnet Linux construit sur le code divulgué de Mirai, actif depuis au moins juillet. Il s'introduit via 18 failles connues, corrigées depuis longtemps, la plus ancienne datant de 2007, la plus récente un bug de 2025 dans le DIR-868L de D-Link, touchant du matériel de NETGEAR, TP-Link, D-Link, Tenda, Zyxel, Telesquare et Alcatel, ainsi que des disques réseau D-Link et des caméras Hikvision. Il force aussi brutalement les connexions SSH à partir d'une liste intégrée de plus de 150 paires de nom d'utilisateur et de mot de passe par défaut, ce qui revient à dire qu'il entre partout où personne n'a changé le mot de passe d'usine.
Ce qui suit est la partie inédite. Plutôt que de simplement enrôler votre routeur dans un canon à DDoS, il hérite aussi de seize méthodes d'inondation pour cela, Evooo1Bot convertit l'appareil en proxy SOCKS5, soit en écoutant sur le port 1080, soit en se connectant au serveur relais de l'opérateur pour ne rien laisser d'exposé qui paraîtrait suspect. Le trafic d'inconnus sort alors sur internet via l'adresse IP de votre domicile. Il renifle aussi les en-têtes d'authentification et les cookies qui transitent, et appelle son contrôleur via le port 443 afin que ces échanges se fondent dans le trafic HTTPS normal.
La vraie inquiétude n'est pas une connexion plus lente. C'est que l'activité de quelqu'un d'autre remonte désormais jusqu'à votre adresse. Trois choses aident : installez le dernier micrologiciel depuis le site du fabricant du routeur lui-même, changez le mot de passe administrateur s'il est encore celui d'usine, et désactivez la gestion à distance pour que la page d'administration ne soit pas accessible depuis internet du tout. Un routeur qui n'a plus reçu de mise à jour de micrologiciel depuis des années devrait tout simplement être remplacé.
L'analyse réseau de Tendvane répertorie chaque appareil de votre réseau domestique, le moyen le plus rapide de remarquer le routeur, la caméra ou le vieux disque réseau que vous aviez oublié encore branché et exposé vers l'extérieur.