Le nouveau botnet malveillant Evooo1Bot cible les appareils passerelles connectés à Internet, notamment les routeurs, certaines caméras, les pare-feu et les périphériques de stockage en réseau, afin de les transformer en nœuds de relais du trafic via le protocole SOCKS5. Le logiciel, basé sur le framework Mirai, combine cette fonction avec d’autres capacités, notamment le vol d’identifiants, l’analyse des services SSH et l’exécution d’attaques par déni de service distribué.
Selon les informations disponibles, la campagne cible des appareils depuis juillet au moins, notamment des produits d’Alcatel, NETGEAR, Tenda, Mitsubishi Electric, Telesquare et D-Link dans différentes régions. Les chercheurs de Fortinet ont déclaré qu’Evooo1Bot réutilisait le moteur d’attaque DDoS du code source divulgué de Mirai, tout en étendant le framework avec des capacités de communication chiffrée avec les serveurs de commande et de contrôle, un scanner d’attaques SSH, un module de relais SOCKS, un capteur d’identifiants et un ensemble intégré d’exploits.
Ciblage de plusieurs produits et vulnérabilités
Les versions les plus récentes comprennent un module distinct d’exploitation des vulnérabilités qui cible les caméras Hikvision, les produits Atlassian Confluence, les pare-feu Zyxel, les appareils TP-Link, les périphériques NAS D-Link, les produits WSO2, Kubernetes ingress-nginx et les installations PHP-CGI vulnérables. Toutefois, les chercheurs de Fortinet ont indiqué que certains exploits intégrés avaient été implémentés de manière incorrecte, ce qui entraîne l’échec des tentatives de compromission.
Lorsque l’exploitation réussit, le logiciel télécharge l’une des 12 versions disponibles de la charge utile, en fonction de l’architecture du processeur de l’appareil ciblé, puis efface l’historique Bash afin de tenter de supprimer les traces de l’attaque. Il vérifie également la présence d’outils de débogage, de logiciels de sécurité, d’environnements de test, de bacs à sable, de machines virtuelles, de conteneurs et de honeypots avant de commencer à fonctionner sur l’appareil infecté.
Relais du trafic et contrôle des appareils
Evooo1Bot assure sa persistance via systemd, SysV init, les fichiers de profil shell et rc.local, tandis qu’une tâche cron tente de télécharger à nouveau la charge utile toutes les cinq minutes. Les opérateurs du réseau bénéficient d’un accès à un shell interactif leur permettant de contrôler directement les systèmes compromis, ainsi que de commandes pour téléverser et télécharger des fichiers.
Le capteur d’identifiants surveille le fichier /proc/net/tcp et tente de capturer les en-têtes HTTP Basic Authentication et Cookie. Le module SOCKS5 prend en charge le mode d’écoute directe et le mode de relais inversé, ce qui permet aux attaquants de dissimuler du trafic malveillant, de contourner les restrictions géographiques ou de tenter d’accéder à des réseaux via les systèmes compromis. Les sessions de relais fonctionnent indépendamment, avec la possibilité d’ouvrir plusieurs sessions simultanément, ce qui pourrait permettre une exploitation commerciale du réseau par l’intermédiaire de services de proxy résidentiel si celui-ci venait à s’étendre.
Analyse SSH et attaques DDoS
Le scanner SSH du logiciel utilise 150 combinaisons de noms d’utilisateur et de mots de passe pour des comptes destinés aux environnements d’entreprise, puis effectue des vérifications après la connexion afin d’éviter les honeypots. Le module DDoS hérité de Mirai prend en charge 16 méthodes d’inondation, notamment UDP, DNS, SYN, ACK, GRE et TCP fragmenté, ainsi que l’inondation HTTP au moyen de requêtes personnalisables.
Pour réduire le risque posé par ces logiciels, les recommandations fournies préconisent de mettre à jour les micrologiciels des appareils de l’Internet des objets, de remplacer les identifiants d’administration par défaut, de désactiver les interfaces d’accès à distance et de remplacer les appareils dont les fournisseurs ont cessé d’assurer la prise en charge.