Botnet

🔍 Contexte Publié le 7 juillet 2026 par Assaf Morag (chercheur Flare), cet article analyse une annonce underground découverte sur un forum cybercriminel. Il décrit un framework botnet nommé Mycelium Framework, présenté comme la première offre underground positionnant explicitement un botnet comme plateforme d’IA-as-a-Service (AIaaS). 🧩 Architecture technique Le framework est décrit comme un système C++ multiplateforme (Windows et Linux) à architecture modulaire : Core loader dynamique chargeant des plugins : IA, forensics navigateur, exploitation, grid computing, réseau, rootkit, scan, composants kernel Linux C2 IRC chiffré AES-256 avec interface opérateur couvrant : contrôle système, chargement de modules, exécution shell, opérations IA, ingénierie sociale IA, contrôle de vers, flooding, scan, cracking, scraping navigateur Persistance Windows : Registry Run keys, Services, Scheduled Tasks, WMI Event Consumers, COM hijacking Persistance Linux : systemd, cron, XDG autostart, rc.local, fichiers d’initialisation shell Évasion : patching AMSI/ETW, détection sandbox, API hashing, strings chiffrées, chargement polymorphique, masquage TLS, confusion de protocoles 🎯 Arsenal d’exploitation (20+ modules RCE) GitLab CVE-2021-22205, Microsoft Exchange ProxyShell, Spring4Shell, Log4Shell (JNDI/HTTP), F5 BIG-IP, Citrix NetScaler, Atlassian Confluence OGNL, VMware vCenter, Fortinet, Apache Struts, ActiveMQ, Solr, Jenkins, Tomcat Manager, Webmin, JBoss 🤖 Capacités IA (“Mind Collective” / “NetGrid”) La composante la plus distinctive est le Distributed AI Grid : ...

🌐 Contexte Source : BleepingComputer, publié le 3 juillet 2026. Une opération coordonnée a ciblé NetNut (aussi connu sous le nom Popa), l’un des plus grands réseaux proxy résidentiels au monde, utilisé par des cybercriminels et des groupes d’espionnage pour masquer leur trafic malveillant derrière des adresses IP résidentielles légitimes. 🎯 Nature de la menace NetNut est un botnet proxy résidentiel estimé à au moins 2 millions d’appareils compromis, principalement des smart TVs et boîtiers de streaming Android. Les appareils sont infectés via : ...

🏛️ Contexte Source : KrebsOnSecurity, publié le 2 juillet 2026. Le FBI, en coordination avec l’IRS Criminal Investigation et plusieurs partenaires industriels (Google, Lumen, Shadowserver), a procédé à la saisie de centaines de domaines associés à NetNut, un service de proxy résidentiel opéré par la société israélienne cotée en bourse Alarum Technologies (NASDAQ: ALAR). 🎯 Nature de la menace NetNut est identifié comme l’infrastructure commerciale reposant sur le botnet Popa, un réseau d’au moins deux millions d’appareils compromis (smart TVs, boîtiers de streaming Android) transformés en nœuds de proxy résidentiels permanents sans consentement des victimes. Ces nœuds sont loués à des tiers pour : ...

🌐 Contexte Le 24 juin 2026, Europol publie un communiqué officiel annonçant une nouvelle phase de l’Operation Endgame, la plus grande opération internationale jamais menée contre les facilitateurs de ransomware. L’opération a impliqué des forces de l’ordre de Canada, Danemark, Allemagne, Pays-Bas, Royaume-Uni et États-Unis, coordonnées par Europol et Eurojust, avec la participation de partenaires privés dont Microsoft, Shadowserver, Proofpoint, IBM X-Force, Bitdefender et d’autres. 🎯 Actions menées Sur une période de deux semaines, les actions coordonnées ont permis : ...

🔍 Contexte Publié le 17 juin 2026 par les chercheurs Alex.Turing et Acey9 du laboratoire XLab de QiAnXin, cet article présente une analyse technique détaillée du botnet AryStinger, découvert le 12 mars 2026 via le système de surveillance réseau XLab. 🎯 Campagne et vecteurs d’infection Les attaquants exploitent des vulnérabilités anciennes pour compromettre des équipements réseau : CVE-2013-3307 et CVE-2016-5681 : ciblant des routeurs Linksys et D-Link basés sur les puces RTL819X (ère 2012-2015) CVE-2025-11837 : ciblant des périphériques NAS (détecté le 26 avril 2026) Le vecteur initial est un script shell téléchargeant et exécutant l’échantillon AryStinger depuis le serveur hgodpcx.ajb8.com. ...

🗓️ Contexte Publié le 18 juin 2026 sur KrebsOnSecurity, cet article synthétise les rapports simultanés de plusieurs sociétés de sécurité (Qurium, Synthient, Spur, Nokia Deepfield, Black Lotus Labs/Lumen, Include Security, Infoblox) concernant le botnet Popa et son lien avec NetNut, opérateur de proxies résidentiels filiale d’Alarum Technologies Ltd (NASDAQ: ALAR), société israélienne cotée en bourse. 🦠 Description du botnet Popa Popa est un botnet Android actif depuis environ quatre ans, ciblant principalement des box TV Android non officielles vendues en ligne. Il s’agit d’un composant plugin associé au botnet Vo1d. Ses caractéristiques principales : ...

🔍 Contexte Publié le 18 juin 2026 par la Nokia Deepfield Emergency Response Team (ERT), ce rapport documente l’analyse statique du client Windows de RoboVPN, un VPN commercial gratuit édité par Cyberkick Ltd. L’analyse repose exclusivement sur le désassemblage statique (MSI, .NET, ILSpy, Ghidra) sans exécution de malware. 🧩 Composants identifiés L’installateur MSI contient un bundle .NET 6 (57 assemblies compressées) et quatre DLL natives x64. Parmi les dépendances NuGet déclarées comme routinières figure NeunativeNG 8.0.36, un SDK proxy résidentiel qui : ...

🔍 Contexte Publié le 3 juin 2026 par Vincent Li (FortiGuard Labs), cet article présente l’analyse technique détaillée de C0XMO, un nouveau variant du botnet Gafgyt découvert en mars 2026. La cible initiale était une entreprise technologique japonaise, mais l’adresse IP source de l’attaque a été tracée en Allemagne. 🎯 Vecteur d’infection initial Le malware se propage en exploitant CVE-2021-27137, un stack buffer overflow dans le service UPnP des firmwares DD-WRT antérieurs au changeset 45723. La vulnérabilité est déclenchée via des requêtes M-SEARCH malformées envoyées sur le port UDP 1900, exploitant une mauvaise gestion des valeurs ST:uuid: surdimensionnées par le parseur SSDP. ...

🗓️ Contexte Source : Ars Technica (Dan Goodin), publié le 29 mai 2026. L’opération a été annoncée par la police néerlandaise et le National Cyber Security Center (NCSC) des Pays-Bas à la suite du signalement d’un chercheur en sécurité. 🎯 Opération de démantèlement Les autorités néerlandaises ont saisi plusieurs serveurs de botnet hébergés aux Pays-Bas auprès d’un fournisseur d’hébergement. Le botnet était composé de : Plus de 17 millions d’appareils compromis 200 serveurs de gestion L’hébergeur a mis le botnet hors ligne en raison de son utilisation à des fins criminelles. ...

🔍 Contexte Publié le 28 mai 2026 par Plume Security Labs (Plume Design, Inc.), ce rapport de recherche en deux parties documente l’investigation menée sur les appareils de streaming SuperBox (séries S4, S5, S6, S6MAX). L’enquête a débuté après que le NOC de Plume a détecté un volume anormal de trafic sortant provenant de ces appareils au sein de réseaux résidentiels, menaçant leur stabilité. 🎯 Vecteurs d’infection identifiés L’investigation a mis en évidence plusieurs vecteurs permettant l’installation de logiciels malveillants : ...