Mirai

🌐 Contexte Publié le 30 mars 2026 par Pulsedive Threat Research, cet article constitue un primer technique sur l’écosystème des botnets modernes basés sur Mirai, avec un focus sur les familles Aisuru, KimWolf et Satori, ainsi que sur les actions de démantèlement menées par le DOJ américain le 19 mars 2026. 📈 Tendances générales Spamhaus a enregistré une hausse de 24 % des serveurs C2 de botnets sur la période juillet-décembre 2025 par rapport au semestre précédent, et de 26 % sur janvier-juin 2025. Les États-Unis ont dépassé la Chine comme pays hébergeant le plus de serveurs C2, une position que la Chine détenait depuis le troisième trimestre 2023. ...

🔍 Contexte Publié le 28 mars 2026 par la Nokia Deepfield Emergency Response Team (ERT), ce rapport documente Drifter, un botnet DDoS jusqu’alors inconnu. Il s’inscrit dans une série de recherches sur l’écosystème de botnets exploitant la surface d’attaque ADB (Android Debug Bridge) sur des appareils Android TV non certifiés. 🎯 Vecteur d’infection et cibles Drifter cible les appareils Android TV AOSP bon marché exposant ADB sans authentification, la même population de dispositifs que MossadProxy v2.5.2, Jackskid et Kimwolf. Le dropper installe l’APK sous le nom com.siliconworks.android.update, accorde des permissions runtime, se met en liste blanche de l’optimisation batterie, et se relance toutes les 60 secondes via un BootReceiver (priorité 999). ...

Selon Akamai Security Intelligence and Response Team (SIRT), une campagne active du botnet Mirai « Zerobot » exploite depuis mi-janvier 2026 des vulnérabilités récemment divulguées dans les routeurs Tenda AC1206 (CVE-2025-7544) et la plateforme d’automatisation n8n (CVE-2025-68613). C’est la première exploitation active rapportée depuis leurs divulgations respectives (juillet et décembre 2025). L’article publie des IOCs ainsi que des règles Snort et Yara. Vulnérabilités ciblées: CVE-2025-7544: débordement de pile à distance sur le point de terminaison /goform/setMacFilterCfg des Tenda AC1206 v15.03.06.23 via le paramètre deviceList, conduisant à DoS/RCE (PoC public disponible). CVE-2025-68613: RCE dans l’évaluation des expressions de n8n (versions 0.211.0 à 1.20.4, puis 1.21.1 et 1.22.0) due à l’absence de sandboxing, permettant exécution de code, lecture/écriture de fichiers, vol d’env vars et persistance avec un simple compte utilisateur non-admin (PoC public disponible). Exploitation observée (honeypots Akamai) 🧪: ...

Source: FortiGuard Labs (blog Fortinet). Lors d’une perturbation mondiale d’AWS fin octobre, les capteurs Fortinet ont observé la propagation de « ShadowV2 », une variante de Mirai ciblant des appareils IoT via plusieurs vulnérabilités, avec une activité probablement testée en vue d’attaques ultérieures. Le botnet avait déjà été signalé en septembre pour des campagnes visant des instances AWS EC2. Portée et impact : niveau de sévérité élevé avec possibilité pour un attaquant distant de prendre le contrôle des systèmes vulnérables. Sont listées comme plateformes affectées notamment : DD‑WRT 24 sp1, plusieurs D‑Link ShareCenter/GO‑RT‑AC750 (DNS‑320/320LW/325/340L), Digiever DS‑2105 Pro 3.1.0.71-11, TBK DVR‑4104/4216, et la série TP‑Link Archer. Les tentatives d’exploitation ont touché des organisations de sept secteurs (technologie, retail/hôtellerie, manufacturing, MSSP, gouvernement, télécoms/opérateurs, éducation) et de nombreux pays sur tous les continents 🌍. Utilisateurs impactés: toute organisation. ...

Source et contexte: Zscaler ThreatLabz publie le « 2025 Mobile, IoT & OT Threat Report » (données juin 2024–mai 2025), fondé sur la télémétrie de son cloud et l’analyse de transactions mobiles et IoT/OT à grande échelle. 📱 Mobile: Les transactions de malwares Android ont grimpé de 67%. Zscaler recense 239 applications Android malveillantes (42 M de téléchargements sur Google Play). Le backdoor Android Void/Vo1d a infecté 1,6 M de box TV Android (cible: versions AOSP anciennes). Les menaces phares incluent les bancaires (Anatsa) et un nouveau RAT Xnotice (ciblant des candidats dans l’oil & gas), avec abus massif des services d’accessibilité, overlays, mishing (SMS), et contournements via ZIP/APK malformés et payloads DEX chiffrés. L’adware domine désormais (69%), devant Joker (23%) et Harly (5%). ...

Selon KrebsOnSecurity, le botnet IoT Aisuru a franchi un seuil inédit en matière de DDoS, tout en déplaçant fortement son infrastructure vers des fournisseurs d’accès Internet (FAI) basés aux États‑Unis. 🚨 Capacités et impact: Aisuru, bâti sur du code Mirai divulgué, aligne environ 300 000 appareils compromis (routeurs, caméras, DVR) et a atteint 29,6 Tb/s lors d’attaques récentes. Les campagnes visent principalement des serveurs de jeux, et le botnet sert aussi de service de proxy résidentiel pour des acteurs malveillants. ...

Selon un article de Bleeping Computer, une nouvelle variante du botnet Mirai a été détectée exploitant une vulnérabilité d’injection de commande dans les appareils d’enregistrement vidéo numérique TBK DVR-4104 et DVR-4216. Le malware Mirai, bien connu pour sa capacité à transformer des appareils IoT en botnets, cible ici spécifiquement des enregistreurs vidéo numériques. Cette attaque met en lumière une faille critique qui permet aux attaquants de prendre le contrôle de ces appareils. ...