Botnet

🔍 Contexte Cet article est publié le 9 septembre 2026 par Nozomi Networks Labs sur leur blog officiel. Il présente une analyse technique approfondie d’un nouveau malware IoT baptisé KATARU, découvert lors d’une compromission de honeypot. 🎯 Vecteur d’accès initial L’infection a été observée en août 2026 via un brute force de credentials Telnet depuis une adresse IP localisée au Vietnam. Après accès, l’acteur a utilisé des commandes BusyBox pour récupérer et exécuter un payload ARM nommé vlxx.arm (SHA1 : 13382c16e2401b07451577b46e634b8031ec254d98b876e5969 2b5fa22abc1d4). ...

🔍 Contexte Publié le 7 avril 2026 par Mohideen Abdul Khader F sur le blog de recherche Trellix, cet article présente une analyse technique approfondie du botnet Masjesu, une menace IoT commerciale active depuis début 2023 et toujours en évolution en 2026. 🎯 Nature de la menace Masjesu est un botnet IoT à vocation commerciale, proposé en tant que service DDoS-for-hire principalement via Telegram. Il cible une large gamme d’appareils IoT (routeurs, passerelles, équipements embarqués) sur de multiples architectures : i386, MIPS, ARM, SPARC, PPC, 68K et AMD64. Le botnet est conçu pour la furtivité et la persistance à long terme, en évitant délibérément les plages IP du Département de la Défense américain (DoD). ...

📰 Source : Communiqué officiel du Département de Justice américain (USAO-CDCA), publié le 1er septembre 2026. 🌐 Contexte général Une opération internationale coordonnée a permis de démanteler le botnet Sality, un réseau malveillant actif depuis 2003, impliqué dans le vol de cryptomonnaies et des cyberattaques contre des victimes aux États-Unis et à l’étranger. L’opération a mobilisé des acteurs gouvernementaux et privés aux États-Unis, en Bulgarie, en Hongrie et en Roumanie. ...

📰 Source : Ars Technica (Dan Goodin), publié le 31 août 2026. L’article s’appuie sur une recherche publiée par la société de sécurité Plume, focalisée sur le lecteur multimédia SuperBox S7 Pro et son écosystème malveillant. 🎯 Contexte Face au blocage croissant du trafic malveillant par les services en ligne, les attaquants recourent massivement aux réseaux proxy résidentiels. Ces réseaux agrègent des millions de connexions domestiques pour permettre aux cybercriminels de router leur trafic via des adresses IP à bonne réputation. Les appareils de streaming proposant du contenu piraté gratuit constituent un vecteur privilégié de recrutement de ces nœuds, souvent à l’insu des utilisateurs. ...

🔍 Contexte Analyse publiée le 25 août 2026 par Joe Security (Joe Reverser) portant sur ToxNetV2, un botnet Linux AArch64 peer-to-peer intégrant un LLM (Large Language Model) dans la boucle de décision de son contrôleur. Il s’agit d’une analyse technique approfondie de reverse engineering. 🤖 Architecture et fonctionnement Le même binaire ToxNetV2 peut opérer en mode contrôleur ou en mode bot ordinaire selon la présence d’un fichier d’état Tox (c2.data). Seul le contrôleur exécute la boucle de revue IA automatisée. ...

🔍 Contexte Publié le 21 août 2026 par Dmitry Kalinin sur Securelist (Kaspersky), cet article documente la découverte en juin 2026 d’un malware Android multi-étapes ciblant les autoradios embarqués (head units) basés sur Android, représentant le premier cas documenté d’infection via la chaîne de mise à jour spécifique à ce type d’équipement. 🎯 Vecteur d’infection Le vecteur d’infection repose sur l’application légitime TWCore (package com.tw.core), responsable de la collecte d’analytics et des mises à jour logicielles sur les autoradios DoFun. TWCore reçoit des messages via un broker MQTT hébergé sur cardoor.cn, contenant des instructions pour télécharger et installer des APK. Un champ installNotExists permet d’installer des applications absentes du firmware d’origine, sans vérification d’intégrité suffisante. ...

🔍 Contexte FortiGuard Labs (Fortinet) publie le 13 août 2026 une analyse technique détaillée d’une nouvelle famille de botnet Linux jusqu’alors non documentée, baptisée Evooo1Bot. Le nom provient de la chaîne codée en dur evooo1 présente dans chaque binaire. La découverte a été faite via la télémétrie IPS de FortiGuard, avec des activités actives observées depuis juillet 2026. 🧬 Architecture et obfuscation Evooo1Bot réutilise le moteur DDoS du code source Mirai (leaké publiquement) mais l’étend considérablement. Les chaînes statiques sont protégées par un pipeline multi-couches : ...

📰 Contexte Article publié le 3 août 2026 par TechCrunch (Zack Whittaker), basé sur une recherche publiée par la société norvégienne de cybersécurité Mnemonic, conduite par Harrison Sand, consultant en sécurité offensive. 🔍 Découverte principale Plusieurs applications populaires disponibles sur le Samsung Smart TV App Store contiennent du code de proxy résidentiel (resproxy), fourni par la société israélienne Bright Data. Ces applications, dont certaines revendiquent des centaines de millions d’installations, incluent notamment un jeu Pac-Man mis en avant dans la section « Editor’s Choice » de Samsung. ...

🌐 Contexte Source : BleepingComputer, publié le 27 juillet 2026. Les chercheurs de QiAnXin XLab ont publié un rapport détaillé sur un nouveau botnet nommé Dysphoria, détecté pour la première fois le 25 mars 2026 et suivi activement depuis. 🦠 Description du botnet Dysphoria est issu de l’évolution des malwares jackskid et fbot, auxquels ont été ajoutés des mécanismes avancés de résilience. Le botnet compromet environ 200 000 appareils à travers le monde et est utilisé pour des attaques DDoS et des opérations de relais de trafic. ...

🔍 Contexte Publié le 24 juillet 2026 par Black Lotus Labs (Lumen Technologies), cet article de recherche approfondie analyse l’écosystème mondial des proxies résidentiels malveillants, en s’appuyant sur la télémétrie du backbone IP global de Lumen et des années de suivi de botnets. 📊 Ampleur du phénomène Black Lotus Labs suit près de 20 millions d’IPs distinctes par jour réparties sur plus de 30 clusters de botnets malveillants. Plus de 20 de ces clusters dépassent régulièrement 100 000 victimes quotidiennes. Les appareils compromis incluent des routeurs IoT/SOHO, des appareils Android (via APKs backdoorés et SDKs malveillants) et des TV boxes Android. ...