Mirai: anatomie d'un botnet qui transforme vos objets connectés en armes DDoS

StreamScan présente une analyse technique approfondie d'une variante récente du malware Mirai, révélant comment ce logiciel malicieux continue de menacer les infrastructures IoT en 2025.

Mirai se spécialise dans la transformation massive d'objets connectés (caméras de surveillance, routeurs, enregistreurs DVR) en soldats d'un botnet redoutable. Sa stratégie d'infection repose sur l'exploitation d'identifiants par défaut ou faibles combinée à un scan massif d'Internet. Une fois compromis, ces appareils deviennent des zombies recevant des commandes à distance pour orchestrer d'énormes attaques par déni de service distribué (DDoS).

L'analyse révèle que cette variante cible spécifiquement l'architecture MIPS, couramment utilisée dans les systèmes embarqués. Le malware exploite trois vulnérabilités critiques, toutes notées 9.8/10 sur l'échelle de sévérité:

CVE-2018-20062 (ThinkPHP): Cette faille permet l'exécution de code PHP arbitraire via une exploitation malveillante du framework ThinkPHP. L'attaquant utilise la fonction call_user_func_array avec shell_exec pour télécharger un binaire malicieux, modifier ses permissions et l'exécuter avant d'effacer ses traces.

CVE-2017-17215 (Huawei HG532): Les routeurs Huawei HG532 sont compromis via un paquet malveillant envoyé au port TCP 37215. Une fois exploité, le routeur télécharge un shell qui récupère un binaire via busybox et l'exécute dans le répertoire /tmp/binary.

CVE-2017-18368 (ZYXEL P660HN-T1A): Cette vulnérabilité exploite une faille d'injection de commandes dans la fonction de transfert des journaux système du routeur Zyxel.

Un détail particulièrement préoccupant: toutes ces vulnérabilités datent de 2017-2018, démontrant que de nombreuses organisations négligent les mises à jour de sécurité de leurs équipements IoT. Le serveur de commande et contrôle identifié (213.209.143.62) distribue des binaires pour multiples architectures, suggérant une opération de grande envergure.

Les chercheurs de StreamScan recommandent un blocage immédiat de l'adresse IP malveillante, la mise en place d'un programme rigoureux de gestion des vulnérabilités et l'application systématique des correctifs de sécurité sur les équipements IoT. L'enjeu est crucial: ces vulnérabilités de type RCE (Remote Code Execution) peuvent compromettre les équipements même protégés par authentification multifacteur.

‍