Un nouveau botnet Linux, baptisé Evooo1Bot, transforme les routeurs d’entreprise et de télétravail en nœuds de relais de trafic. Pour une PME-ETI, l’enjeu n’est pas seulement la bande passante volée : votre adresse IP publique devient l’infrastructure d’attaque de quelqu’un d’autre. Ce tutoriel détaille les étapes concrètes pour détecter la compromission, l’éradiquer et durcir durablement vos équipements de bordure.
Pourquoi ce botnet cible vos routeurs
Les opérateurs d’Evooo1Bot ne cherchent ni vos fichiers ni vos sauvegardes. Ils cherchent une IP résidentielle ou professionnelle légitime, revendue ensuite sur le marché des proxys résidentiels. Ce trafic sert à contourner les filtres géographiques, à mener du credential stuffing et à masquer des campagnes de fraude.
Les conséquences pour une PME-ETI sont directes :
- Blacklistage de votre plage IP : vos courriels partent en spam, vos accès partenaires sont bloqués.
- Responsabilité juridique : les abus commis depuis votre IP remontent d’abord à vous.
- Dégradation réseau : latence et saturation de la liaison montante aux heures ouvrées.
- Point d’ancrage persistant : le routeur compromis reste une porte d’entrée vers le réseau interne.
Les équipements les plus exposés
Le vecteur classique reste l’interface d’administration exposée sur Internet, associée à un mot de passe par défaut ou à un firmware non corrigé. Les box de télétravail, les routeurs de sites secondaires et les équipements oubliés après un déménagement concentrent la majorité des compromissions. Ces actifs partagent le même angle mort que les équipements industriels : personne n’en est propriétaire. Nous l’avions détaillé dans notre article sur les automates industriels exposés.
Étape 1 : détecter un routeur enrôlé dans le botnet
Un routeur transformé en relais présente des signaux mesurables, même sans accès au firmware. Procédez dans cet ordre :
- Volumétrie sortante anormale : comparez le trafic montant en dehors des heures ouvrées à votre référence historique. Un relais génère un flux constant, jour et nuit.
- Connexions sortantes persistantes vers des ports non standards (souvent au-dessus de 10000) ou vers des ASN d’hébergeurs à bas coût.
- Sessions d’administration inconnues : vérifiez les journaux de connexion à l’interface web et SSH du routeur.
- Réputation IP : testez votre adresse publique sur les listes de blocage courantes et sur les bases de proxys résidentiels connus.
- Règles NAT ou port forwarding que personne n’a documentées.
Collecter la preuve avant de redémarrer
La plupart des implants de botnet visant les routeurs résident uniquement en mémoire. Un redémarrage efface l’implant et la preuve, sans corriger la faille d’entrée. Exportez d’abord la configuration, la table de connexions actives et les journaux disponibles. Conservez-les hors ligne.
Étape 2 : éradiquer et reconstruire proprement
Nettoyer un routeur compromis ne consiste pas à supprimer un fichier. Appliquez cette séquence :
- Isoler l’équipement : coupez la liaison WAN le temps de l’intervention.
- Réinitialisation d’usine complète, sans restaurer l’ancienne sauvegarde de configuration, qui peut contenir la porte dérobée.
- Mise à jour du firmware vers la dernière version publiée par le constructeur, avant toute remise en service.
- Reconfiguration manuelle à partir d’une configuration de référence documentée.
- Rotation des secrets : mots de passe d’administration, clés Wi-Fi, secrets IPsec, identifiants PPPoE.
- Vérification du parc interne : un routeur enrôlé signale souvent d’autres actifs vulnérables sur le même segment.
Étape 3 : durcir vos routeurs contre le prochain botnet
La prévention repose sur cinq contrôles simples, applicables même sans équipe sécurité dédiée. Un botnet qui cible les routeurs exploite des configurations laxistes bien plus souvent que des vulnérabilités inédites.
Fermer la surface d’exposition
- Aucune interface d’administration exposée sur Internet. L’accès distant passe exclusivement par un VPN ou un bastion. Le même principe s’applique aux consoles de télégestion, comme nous l’expliquions à propos des outils RMM exposés.
- Désactiver UPnP et les protocoles de découverte automatique côté WAN.
- Supprimer les comptes par défaut et imposer une authentification forte sur l’administration.
Maintenir et surveiller dans la durée
- Cycle de patch documenté pour les équipements réseau, au même titre que les serveurs : inventaire, fréquence, responsable nommé.
- Journalisation centralisée : envoyez les logs du routeur vers un collecteur externe. Un équipement qui ne parle à personne ne peut pas alerter.
- Alerte sur volumétrie : un seuil de trafic sortant nocturne suffit à détecter la majorité des relais.
- Retrait des équipements en fin de support : un routeur sans firmware maintenu est une compromission différée.
Le rôle d’un SOC augmenté par l’IA
La détection d’un relais de botnet repose sur la corrélation : volumétrie, réputation d’IP, comportement horaire, journaux d’authentification. C’est précisément le travail qu’un SOC agentique automatise. L’Agentic SOC de ucyber.ai croise ces signaux en continu et remonte une hypothèse qualifiée plutôt qu’une alerte brute, ce qui permet à une PME-ETI d’agir en heures plutôt qu’en semaines.
À retenir
Un botnet qui recrute des routeurs ne déclenche aucune alerte antivirus et ne chiffre rien. Il monétise silencieusement votre connectivité et votre réputation. Traitez vos équipements de bordure comme des serveurs de production : inventoriés, patchés, journalisés, et jamais administrables depuis Internet.