Les mêmes binaires, de nouveaux serveurs : le réseau de propagation de Mozi en octobre 2026

Le 15 octobre 2026, deux adresses web ont été relevées en train de distribuer Mozi, un ver pair-à-pair qui vit dans des routeurs et d’autres petits appareils Linux depuis 2019. L’une proposait une version pour processeurs ARM. L’autre, une version pour MIPS. Le lendemain à 09:34 UTC, aucune des deux n’acceptait de connexion.

Les fichiers sont anciens. Les machines qui les distribuent forment un ensemble d’appareils qui tourne, et une adresse notée un après-midi est une mauvaise pièce à traiter comme une infrastructure le jour suivant.

Les hôtes n’ont pas répondu

URLhaus, le catalogue d’abuse.ch pour les adresses qui servent des logiciels malveillants, a enregistré trois récupérations le 15 octobre :

• À 03:02 UTC, 60.214.231.246 sur le port 46912, chemin /i, a renvoyé le fichier MIPS.
• À 14:06 UTC, le même hôte et le même port, chemin /bin.sh, ont renvoyé ce même fichier MIPS.
• À 14:11 UTC, 113.53.69.165 sur le port 46289, chemin /bin.sh, a renvoyé le fichier ARM.

Le catalogue marquait les deux adresses en ligne, et les décrivait comme n’ayant servi le logiciel que brièvement. Une ligne de catalogue est un instantané. Elle ne dit pas que l’appareil est encore joignable, ni encore compromis, le lendemain.

Nous avons demandé ces deux hôtes, sur les deux chemins, à 09:34 UTC le 16 octobre. Les requêtes avaient un délai court et une taille maximale. Rien n’est revenu, donc il n’y avait aucune empreinte à calculer et rien à exécuter. Le port 46289 de 113.53.69.165 a refusé la connexion en 3,6 secondes, sur /bin.sh et sur /i. Le port 46912 de 60.214.231.246 n’a rien renvoyé en 21 secondes, sur aucun des deux chemins. La connexion est morte avant toute réponse HTTP, donc le chemin n’est jamais entré en jeu. Nous n’avons pas sondé d’autres ports, et nous n’avons parlé à aucune autre adresse.

Une connexion échouée depuis un seul réseau est une observation unique. Elle montre que ces adresses n’étaient pas un endroit fiable pour récupérer le fichier environ dix-neuf heures après la dernière récupération enregistrée. Elle ne prouve pas que les appareils ont quitté Internet.

Une nouvelle consultation d’URLhaus ce matin-là s’est arrêtée au contrôle de navigateur du site, et l’API a rejeté une requête sans clé. Les heures du 15 octobre ci-dessus sont les enregistrements publiés du catalogue. L’identité des fichiers, plus bas, vient des rapports Triage de ces empreintes exactes, et des mesures d’Indicaweb sur les mêmes empreintes jusqu’en septembre.

Les binaires ont plusieurs années

Une empreinte SHA-256 nomme un fichier. Ces deux empreintes sont dans des bacs à sable publics depuis longtemps, sous une pile de noms de dépôt différents.

Le fichier ARM fait 307 960 octets :

12013662c71da69de977c04cd7021f13a70cf7bed4ca6c82acbc100464d4b0ef

L’échantillon Triage 210112-jfqx11711x, du 12 janvier 2021, est cette empreinte, déposé sous le nom Mozi.m. La même empreinte et le même MD5, eec5c6c219535fba3a0492ea8118b397, reviennent le 25 avril 2022 sous le nom Mozi.aakzznwuh (220425-2dxcrsbdbq), le 24 septembre 2025 sous le nom de fichier i (250924-ts5npazxct), le 15 août 2026 (260815-phk43swzcz), et le 8 octobre 2026 (261008-wykltab14v). Les octets enregistrés en octobre 2026 sont les octets de janvier 2021.

Le fichier MIPS fait 135 784 octets :

4293c1d8574dc87c58360d6bac3daa182f64f7785c9d41da5e0741d2b1817fc7

Triage l’a le 10 septembre 2025 (250910-w7lkgahp7s), le 5 janvier 2026 (260105-phfjla1kam), et le 3 août 2026 avec le nom de fichier i (260803-gxg2zacq5y). C’est un binaire MIPS gros-boutiste, compressé avec UPX, dont les champs du compresseur sont mis à zéro pour que l’outil habituel refuse de le décompresser. Cette habitude de compression est plus ancienne que ce fichier.

Indicaweb a suivi les mêmes deux empreintes, et quatre autres, du 24 mars au 28 septembre 2026. La mise à jour de Fabio Russo du 28 septembre dit que les cinq binaires de mars étaient encore ceux qui étaient servis, sans reconstruction entre les deux. Dans la dernière semaine de cette fenêtre, 146 hôtes servaient l’empreinte ARM et 143 servaient cette empreinte MIPS. Un sixième fichier MIPS, vu pour la première fois le 1er avril, est un binaire plus petit et distinct. Les empreintes qui ne diffèrent que d’un octet en trop ont été comptées comme des transferts abîmés de ces mêmes fichiers.

Les adresses d’octobre sont de nouveaux endroits où récupérer d’anciens octets.

Un fichier, deux noms de famille

L’empreinte ARM est aussi classée comme Mirai. Le rapport Triage du 8 octobre 2026 sur ce fichier exact applique à la fois le libellé Family Mirai et le libellé Family Mozi, et il porte les lignes « Mirai ARM payload » et « Detects Mozi Payload ». Le titre du rapport est mirai. Le rapport Triage du 15 août 2026 sur la même empreinte est classé Mozi et ne porte pas la ligne de famille Mirai. Une ligne de catalogue du 5 octobre collait déjà une étiquette Mirai à cette même empreinte, sur un autre hôte. URLhaus ne montrait plus cette ligne le 16 octobre sans un contrôle de navigateur réussi, donc les deux rapports Triage sont les pages que nous avons relues.

L’empreinte est un seul fichier. Les détecteurs ne s’accordent pas sur le nom de famille, y compris avec eux-mêmes d’un rapport à l’autre sur les mêmes octets.

Ce désaccord a une histoire. 360 Netlab a nommé Mozi en 2019 à partir de noms de fichiers comme Mozi.m et Mozi.a, le nom du dépôt Triage de janvier 2021, et a écrit que le ver réutilisait du code de Mirai, de Gafgyt et d’IoT Reaper. Une signature visant le balayage de Mirai, sa modification du watchdog ou son trafic d’attaque correspond à un binaire Mozi qui contient encore ces morceaux. Le texte de Trend Micro sur Backdoor.Linux.MOZI.A note que d’autres moteurs appellent encore la même famille Mirai. L’étiquette bouge. Le SHA-256, non.

Le serveur est un autre appareil

Mozi n’a pas besoin d’un serveur de téléchargement loué. Un appareil qui exécute déjà le ver ouvre un port élevé et sert la copie suivante en HTTP simple. Le pot de miel d’Indicaweb, un seul capteur à Helsinki, a vu le chemin /i, en place depuis longtemps, sur ce port, souvent avec un en-tête Server: nginx et un type de contenu qui présentait le téléchargement comme une archive zip. Les enregistrements d’octobre ajoutent /bin.sh à côté. Sur l’hôte MIPS, les deux chemins ont renvoyé une seule empreinte. Un second chemin est un autre nom pour la même offre.

Le même journal de six mois sépare la machine qui balaye de la machine qui sert le fichier. Du 30 août au 27 septembre, 98,6 % des tentatives de téléchargement recevaient l’ordre d’aller chercher le binaire à une adresse différente de celle qui venait de se connecter. Les 1,4 % restants pointaient vers le scanner. Depuis un seul capteur, cette coupure a deux explications ordinaires : un appareil derrière une adresse partagée, ou un bot qui donne l’adresse d’un autre bot. Dans les deux cas, bloquer l’adresse qui vous a sondé laisse intacte l’adresse qui livre le fichier.

Le canal de commande est un fait à part. Le robot d’exploration a parcouru 1 465 137 nœuds DHT entre le 29 mars et le 28 septembre et n’a intercepté aucune commande. La conclusion d’Indicaweb est que le réseau de commande a disparu, et qu’il n’est pas simplement silencieux. Les autorités chinoises ont arrêté des opérateurs en septembre 2021. En août 2023, un interrupteur d’arrêt documenté par ESET est passé par cette DHT et a dit aux bots qui étaient en ligne et qui participaient d’arrêter de se propager et de retirer leur propre service de téléchargement. Les bots hors ligne, injoignables, ou incapables d’écrire le changement ne l’ont jamais reçu. L’échantillon ARM de 2026 contient encore l’ancien analyseur de commandes. Rien dans la DHT mesurée ne l’alimentait.

Les deux hôtes d’octobre ont la forme d’appareils sur des réseaux d’accès, ce qui n’est pas la preuve que l’un ou l’autre était infecté, ni la preuve qu’une seule personne tenait les deux.

113.53.69.165 est annoncé par AS23974. Le nom d’enregistrement de cette annonce est le ministère de l’Éducation de Thaïlande, le champ d’organisation est revenu comme TOT, et une estimation au niveau de la ville le place dans la région de Bangkok. 60.214.231.246 est annoncé par AS4837, l’épine dorsale China169 de China Unicom, avec une estimation au niveau de la ville à Jinan, dans le Shandong. Nous les avons consultés le 16 octobre 2026 via un service public qui associe une adresse IP à un réseau. Une annonce dit qui route l’adresse, pas qui possède la machine, et une ville est une estimation. C’est une plage de campus ou de liaison provinciale, le genre de réseau où se trouve un routeur. Cela correspond mal à une société d’hébergement louée comme serveur de campagne.

Le décompte plus long d’Indicaweb va dans le même sens, avec MaxMind GeoLite2 pour les pays. Sur 2 227 adresses attaquantes en 183 jours, environ la moitié étaient au Pakistan et environ un tiers en Chine. Sur 3 981 hôtes qui servaient le fichier, environ 79 % étaient en Chine. Les scanners et les serveurs sont deux populations. Des empreintes partagées, des ports élevés et les chemins /i et /bin.sh sont ce que ce ver fait quand il se copie. Ils n’identifient pas un opérateur.

Les adresses tournent, le fichier reste

Sur ces six mois, Indicaweb a enregistré 4 275 paires d’adresse et de port qui servaient le binaire. Environ 59 % sont apparues un seul jour. Aucun des 15 nœuds du texte de mars n’a été revu après le 16 août 2026, et 14 d’entre eux avaient disparu le 21 avril. Dans la semaine du 21 au 28 septembre, 289 nœuds ont servi le fichier, et 51 d’entre eux étaient encore là le 28. Le rapport dit explicitement qu’il s’agit d’appareils infectés, pas d’une ferme de serveurs permanente.

Les tentatives de connexion du 16 octobre se posent sur cette courbe. Ce sont deux observations, pas une nouvelle mesure du taux de rotation. Les deux hôtes du 15 octobre n’ont pas terminé une poignée de main le lendemain matin. Une liste de blocage des adresses de la veille est périmée au moment où on la publie. Les indicateurs stables sont les empreintes, la famille de processeur, et le premier et le dernier moment où une adresse a été vue.

Les chiffres de volume se lisent de la même façon. Les totaux quotidiens de téléchargements dans cette recherche ne sont fiables que pour les trente derniers jours, parce qu’une tâche de maintenance antérieure a tronqué les plus anciens. Du 30 août au 27 septembre, le capteur a compté 1 931 206 tentatives de téléchargement. Le jour médian était à 54 600. La médiane de la première semaine était 39 667, et celle de la dernière semaine 110 820. Les appareils attaquants distincts sont restés plats, à une médiane de 41 par jour, et plats sur les six mois entiers à une moyenne de 38. Plus de tentatives pour le même nombre d’appareils est un changement d’effort. Indicaweb n’y lit pas une croissance, et un seul pot de miel n’est pas la taille du réseau.

Ce qu’une copie en cours d’exécution fait encore

Les rapports de bac à sable s’accordent sur le comportement de ces deux fichiers.

Un appareil qui en exécute un balaye vers l’extérieur, essaie des connexions distantes faibles et de vieilles failles dans des services d’administration exposés, puis propose le binaire à l’appareil suivant. L’exécution ARM de 2022 a contacté environ vingt mille hôtes distants. L’exécution ARM d’octobre 2026 en a contacté environ dix-sept mille. Les deux lisent la table de routage et la liste des processus, écrivent un script de démarrage, et modifient le watchdog pour qu’un redémarrage ait moins de chances d’effacer le processus. Les exécutions MIPS montrent la même persistance et la même découverte. Les rapports historiques attribuent aussi à la famille du trafic de déni de service. Les listes publiques de failles ont plusieurs années. Ce texte reste au comportement.

Deux capacités de 2021 n’apparaissent pas dans les copies qu’Indicaweb a démontées cette année. La recherche de Microsoft en août 2021 décrivait des changements de démarrage propres aux passerelles Netgear, Huawei et ZTE, et un chemin de détournement de trafic qui falsifiait le DNS et altérait des sessions web. Les échantillons de 2026 n’ont pas montré cela. Les arrestations et l’interrupteur d’arrêt n’ont pas effacé les copies déjà posées sur des appareils qui ont manqué l’ordre. Ces copies ont continué à balayer.

Une campagne de 2024, Androxgh0st, a été décrite comme réutilisant des morceaux du code de propagation de Mozi. C’est un autre programme. Elle ne tire pas ces adresses d’octobre dans cette campagne.

La page Mozi de Derp liste d’autres empreintes analysées dans la première moitié d’octobre 2026, dont deux datées du 16 octobre. Une étiquette de famille sur un fichier plus récent est une autre affirmation qu’une empreinte SHA-256 identique. Les deux adresses de ce texte ont servi les anciennes empreintes.

Ce que les enregistrements d’octobre établissent

Ils établissent une boucle de propagation qui continue. Un binaire ARM identique octet pour octet depuis au moins janvier 2021, et un binaire MIPS identique depuis au moins septembre 2025, étaient encore proposés le 15 octobre 2026, depuis des ports élevés sur des réseaux qui ressemblent au routeur de quelqu’un d’autre. Le lendemain matin, ces deux offres avaient disparu, ce qui est le motif qu’Indicaweb a mesuré sur des milliers de nœuds antérieurs : le fichier reste, le serveur non.

Ils n’établissent pas un nouvel opérateur, une variante d’octobre reconstruite de ces deux fichiers, ni une campagne unique derrière chaque hôte qui les a servis un jour.

Si vous faites tourner un routeur, une caméra ou un enregistreur joignable depuis Internet, la conséquence est pratique. Installez les mises à jour du fabricant, ou remplacez l’appareil quand le fabricant a cessé d’en publier. Fermez Telnet et la page d’administration à l’Internet ouvert. Remplacez le mot de passe livré avec l’appareil. Demander exprès les adresses de ce texte, c’est ainsi que le ver est livré.