Doorway Botnet : campagne massive de compromission IoT, routeurs et serveurs d'entreprise

🔍 Contexte

Publié le 28 octobre 2026 par CloudSEK, cet article présente les résultats d’une investigation approfondie sur le botnet Doorway, découvert via deux répertoires ouverts identiques exposant environ 41 Go de données opérationnelles en octobre 2026.

🛠️ Moteur d’exploitation

Le cœur de l’opération est doorway, un moteur écrit en Rust (package Cargo 0.1.0, édition 2021) comprenant :

• ~21 870 lignes de code source
• 59 modules d’exploitation couvrant caméras, routeurs, ONUs et services Java
• 34 paires de credentials par défaut
• Un mécanisme d’apprentissage de credentials persistant (credstore.rs)
• Deux modes de build : production et validation

🎯 Techniques d’attaque

L’arsenal couvre quatre classes de techniques :

• Injection de commandes pré-authentification
• Path traversal et écriture arbitraire de fichiers
• Injection de configuration
• Authentification par credentials par défaut ou exposés

L’exploitation de CVE-2023-30799 (FOISted) cible RouterOS pour des versions 6.45.9 à 6.48.6. CVE-2023-32315 cible Openfire via traversal de chemin. Des exploits de style CVE-2023-46604 ciblent ActiveMQ.

📦 Livraison de payload multi-étages

La chaîne de livraison est redondante et architecturalement adaptative :

• Stage 0 : injection via Spring ClassPathXmlApplicationContext (wtg83.xml / wtg83w.xml)
• Stage 1 : loaders architecture-aware (wtg83 shell, wtg83.ps1 PowerShell)
• Stage 2 : stage2.so (ELF MIPS32, ~3 500 octets) beacon ICMP vers 45.205.1.9 + reverse shell TCP/4444 ; ofvalid.jar plugin Openfire
• Transports : netcat, wget, curl, TFTP, FTP, NFS, domaine court, printf dropper

📊 Résultats opérationnels confirmés

• 11 363 jointures de dispositifs en 60 minutes
• 58 920 téléchargements de payload de second niveau
• 7 369 authentifications MikroTik/RouterOS réussies sur 4 923 identités
• 20 hôtes Jenkins avec RCE confirmé
• 16 uploads de plugins Openfire sur 20 cibles non-lab
• 1 060 enregistrements PPPoE d’un seul ISP
• 29 IPs DARKLANTERN uniques

🏗️ Infrastructure

🤖 Modèle opérationnel “Watcher”

L’artefact WATCHER-BRIEF.md documente un modèle de pilotage automatisé avec 5 sessions d’agents concurrentes, des seuils de production, une boucle de rétroaction et une intégration avec des outils LLM (famille non identifiée). Le système réalloue les efforts vers des familles plus productives (ActiveMQ, nouvelles cibles) en cas de baisse de performance.

📋 Type d’article

Analyse technique approfondie et publication de recherche CTI, visant à documenter les capacités, l’infrastructure et les IoCs d’une opération botnet active à des fins de détection et de blocage.

🧠 TTPs et IOCs détectés

TTP

• T1595 — Active Scanning (Reconnaissance)
• T1110.001 — Brute Force: Password Guessing (Credential Access)
• T1110.002 — Brute Force: Password Spraying (Credential Access)
• T1190 — Exploit Public-Facing Application (Initial Access)
• T1059.004 — Command and Scripting Interpreter: Unix Shell (Execution)
• T1059.001 — Command and Scripting Interpreter: PowerShell (Execution)
• T1105 — Ingress Tool Transfer (Command and Control)
• T1071.001 — Application Layer Protocol: Web Protocols (Command and Control)
• T1090 — Proxy (Command and Control)
• T1027 — Obfuscated Files or Information (Defense Evasion)
• T1036 — Masquerading (Defense Evasion)
• T1505.004 — Server Software Component: IIS Components (Persistence)
• T1133 — External Remote Services (Persistence)
• T1021.004 — Remote Services: SSH (Lateral Movement)
• T1078.001 — Valid Accounts: Default Accounts (Defense Evasion)

IOC

• IPv4 : 16.5.0.241 — AbuseIPDB · VT · ThreatFox
• IPv4 : 16.5.0.224 — AbuseIPDB · VT · ThreatFox
• IPv4 : 16.5.0.225 — AbuseIPDB · VT · ThreatFox
• IPv4 : 16.5.0.226 — AbuseIPDB · VT · ThreatFox
• IPv4 : 16.5.0.227 — AbuseIPDB · VT · ThreatFox
• IPv4 : 16.5.0.228 — AbuseIPDB · VT · ThreatFox
• IPv4 : 45.90.13.169 — AbuseIPDB · VT · ThreatFox
• IPv4 : 45.90.13.11 — AbuseIPDB · VT · ThreatFox
• IPv4 : 45.205.1.9 — AbuseIPDB · VT · ThreatFox
• IPv4 : 176.98.182.21 — AbuseIPDB · VT · ThreatFox
• IPv4 : 184.174.96.216 — AbuseIPDB · VT · ThreatFox
• IPv4 : 66.151.33.14 — AbuseIPDB · VT · ThreatFox
• IPv4 : 151.243.11.210 — AbuseIPDB · VT · ThreatFox
• IPv4 : 151.243.11.240 — AbuseIPDB · VT · ThreatFox
• IPv4 : 151.243.11.241 — AbuseIPDB · VT · ThreatFox
• IPv4 : 151.243.11.242 — AbuseIPDB · VT · ThreatFox
• IPv4 : 46.246.97.179 — AbuseIPDB · VT · ThreatFox
• Domaines : fd6.eu — VT · URLhaus · ThreatFox
• Domaines : 19z.in — VT · URLhaus · ThreatFox
• Domaines : 45.205.1.9.sslip.io — VT · URLhaus · ThreatFox
• URLs : http://45.90.13.169:8080/2mqz7.x86 — URLhaus
• URLs : http://45.90.13.169:8080/2mqz7.a64 — URLhaus
• URLs : http://45.90.13.169:8080/2mqz7.arm7 — URLhaus
• URLs : http://45.90.13.169:8080/2mqz7.win64 — URLhaus
• URLs : http://45.90.13.169:8080/2mqz7.win32 — URLhaus
• URLs : http://151.243.11.210/wtg83.ps1 — URLhaus
• URLs : http://151.243.11.210/wtg83.x86 — URLhaus
• URLs : http://151.243.11.210/wtg83.a64 — URLhaus
• URLs : http://151.243.11.210/wtg83.arm7 — URLhaus
• URLs : http://151.243.11.210/wtg83.arm5 — URLhaus
• URLs : http://151.243.11.210/wtg83.mpsl — URLhaus
• URLs : http://151.243.11.210/wtg83.mips — URLhaus
• SHA256 : 73f67931bb28b97da3311ee5ab2babea06de82c13fec10a8298b5902e88c459f — VT · MalwareBazaar
• SHA256 : 1fc4d07f44b576cfa77092c143d432cb089ce10ed38ac7559e77ae6b4c85b509 — VT · MalwareBazaar
• SHA256 : f1292b5d6dd752d51bfe6bdf03f6244ac50e0fb0876e5d4e061d11c191cb5503 — VT · MalwareBazaar
• SHA256 : f4e650447e879edcb7ae9b70b1a7168834414f868e924eb56358711565e07ed0 — VT · MalwareBazaar
• SHA256 : e07a71c229952c52008fc52dd5beb06e2e299f8d51d84ac08a5acb57f29480fd — VT · MalwareBazaar
• SHA256 : 4f3bac31caf103ec8fcf47f979ce94bc35b0d295d43ebebb602e85033b2986a8 — VT · MalwareBazaar
• CVEs : CVE-2023-30799 — NVD · CIRCL
• CVEs : CVE-2023-32315 — NVD · CIRCL
• CVEs : CVE-2023-46604 — NVD · CIRCL
• Fichiers : stage2.so
• Fichiers : ofvalid.jar
• Fichiers : wtg83
• Fichiers : wtg83.ps1
• Fichiers : wtg83w.xml
• Fichiers : wtg83.xml
• Fichiers : WATCHER-BRIEF.md
• Fichiers : credstore.rs
• Fichiers : learned-creds.creds
• Fichiers : mini_out.log
• Fichiers : ang23.war
• Fichiers : d.jsp
• Chemins : /flash/rw/disk/stage2.so
• Chemins : ../../nova/etc/devel-login
• Chemins : ../../../pckg/option
• Chemins : /tmp/a
• Chemins : /var/tmp/.d
• Chemins : /var/log/x86win-watch.log
• Chemins : /srv/nfs

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 3 novembre 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

Malware / Outils

• Doorway (botnet)
• stage2.so (backdoor)
• ofvalid.jar (loader)
• wtg83 (loader)

🟢 Indice de vérification factuelle : 95/100 (haute)

• ✅ cloudsek.com — source reconnue (Rösti community) (20pts)
• ✅ 37934 chars — texte complet (fulltext extrait) (15pts)
• ✅ 60 IOCs dont des hashes (15pts)
• ✅ 4/12 IOCs confirmés (AbuseIPDB, MalwareBazaar, ThreatFox, URLhaus, VirusTotal) (15pts)
• ✅ 15 TTPs MITRE identifiées (15pts)
• ✅ date extraite du HTML source (10pts)
• ⬜ aucun acteur de menace nommé (0pts)
• ✅ 3/3 CVE(s) confirmée(s) (CIRCL) (5pts)

IOCs confirmés externellement :

• 16.5.0.241 (ip) → AbuseIPDB (100% confiance, 2571 signalements) + VT (13/92 détections)
• 16.5.0.224 (ip) → AbuseIPDB (100% confiance, 723 signalements) + VT (6/92 détections)
• 16.5.0.225 (ip) → AbuseIPDB (100% confiance, 624 signalements) + VT (5/92 détections)
• fd6.eu (domain) → VT (3/92 détections)

🔗 Source originale : https://www.cloudsek.com/blog/doorway-botnet-global-iot-router-camera-enterprise-server-attacks