A botnet Evooo1Bot surge como uma nova ameaça para equipamentos Linux expostos à internet, combinando características herdadas do Mirai com recursos voltados para transformar dispositivos de borda em proxies SOCKS5. A estratégia amplia consideravelmente o impacto de uma infecção: além de participar de ataques DDoS, um roteador, gateway ou outro equipamento comprometido pode passar a funcionar como intermediário para o tráfego de terceiros.
O comportamento chama atenção porque desloca o foco tradicional das botnets IoT. Em vez de utilizar exclusivamente os dispositivos infectados para gerar grandes volumes de tráfego, o malware Evooo1Bot aproveita os endereços IP das próprias vítimas para dificultar a identificação da origem de atividades maliciosas. Relatos recentes apontam ataques contra equipamentos de rede e outros sistemas Linux expostos, com exploração de vulnerabilidades conhecidas.
O cenário reforça um problema recorrente na segurança de infraestrutura: equipamentos de borda frequentemente permanecem expostos mesmo quando existem correções disponíveis. Como já observado em campanhas envolvendo variantes do Mirai, falhas antigas em dispositivos conectados continuam sendo utilizadas para distribuir malware e formar novas redes de máquinas comprometidas.
O que é a botnet Evooo1Bot e como ela opera
A Evooo1Bot é descrita como uma botnet modular para Linux baseada em elementos do Mirai, mas com uma proposta mais ampla do que simplesmente recrutar dispositivos para ataques de negação de serviço. Seu conjunto de recursos inclui comunicação com infraestrutura de comando e controle (C2), exploração de vulnerabilidades, mecanismos de propagação, roubo de credenciais, ataques contra serviços SSH e capacidade de estabelecer proxies SOCKS5.
A herança do Mirai é particularmente importante. O código-fonte do Mirai, disponibilizado publicamente anos atrás, deu origem a inúmeras variantes que adaptaram seu mecanismo de propagação para diferentes fabricantes, arquiteturas de processadores e vulnerabilidades. A própria FortiGuard já documentou campanhas nas quais variantes derivadas do Mirai exploram falhas em equipamentos de rede e sistemas expostos.
No caso da botnet Linux Evooo1Bot, a infecção pode começar com a exploração de uma falha conhecida ou com ataques direcionados a serviços expostos. Depois do acesso inicial, o malware utiliza um script shell carregador, identificado como wget.sh em análises públicas, para baixar componentes adicionais e executar o payload adequado à arquitetura do equipamento.
Essa abordagem é especialmente eficiente contra dispositivos embarcados porque muitos roteadores e gateways utilizam processadores ARM, MIPS ou x86. A distribuição de binários compatíveis permite que uma mesma infraestrutura maliciosa alcance diferentes famílias de hardware.
Outro recurso observado é a tentativa de apagar rastros da execução, incluindo limpeza do histórico do Bash. Esse tipo de comportamento não torna o malware invisível, mas pode dificultar uma investigação superficial realizada diretamente no equipamento.
Comunicação C2 e técnicas de evasão
A comunicação entre o dispositivo infectado e a infraestrutura de controle também merece atenção. A ameaça utiliza tráfego criptografado associado à porta 443, uma escolha que pode fazer as conexões maliciosas se misturarem com o tráfego HTTPS legítimo.
Para administradores, isso significa que simplesmente permitir conexões TCP/443 não é suficiente para considerar uma rede segura. É necessário observar destinos, frequência, comportamento e volume das conexões, especialmente quando equipamentos que normalmente não iniciam comunicações externas passam a estabelecer conexões persistentes.
A Evooo1Bot também incorpora mecanismos destinados a dificultar análises automatizadas, verificando determinadas condições do ambiente antes de executar seus componentes. Essa combinação de evasão, modularidade e comunicação criptografada aumenta o custo de análise para equipes de resposta a incidentes.
Ferramentas integradas ao malware
Outro aspecto preocupante é a quantidade de funções reunidas em uma única ameaça. Entre os recursos atribuídos à Evooo1Bot estão:
- Sniffer e coleta de credenciais;
- Varredura e ataques contra SSH;
- Módulos para DDoS;
- Exploração de vulnerabilidades conhecidas;
- Comunicação com servidores C2;
- Proxy SOCKS5 para retransmissão de tráfego.
A combinação permite que o mesmo dispositivo seja utilizado para diferentes objetivos. Uma máquina comprometida pode inicialmente servir para gerar tráfego DDoS e, posteriormente, funcionar como ponto de saída para outras operações criminosas.
Vulnerabilidades exploradas pela botnet Evooo1Bot
A principal porta de entrada continua sendo a exploração de vulnerabilidades conhecidas em equipamentos expostos à internet. Informações públicas sobre a campanha apontam para dispositivos de fabricantes como D-Link, Tenda, Alcatel, NETGEAR e Zyxel, além de outros componentes presentes em infraestruturas modernas.
A estratégia não é exatamente nova. O diferencial está na combinação de diferentes vetores dentro de uma infraestrutura modular. Em vez de depender de uma única vulnerabilidade, a botnet pode incorporar mecanismos direcionados a diferentes produtos e serviços.
Também há indicação de expansão para ambientes mais complexos, incluindo câmeras, firewalls, aplicações corporativas e componentes relacionados ao Kubernetes. Isso é relevante porque demonstra que o conceito de “dispositivo IoT” já não descreve sozinho o alvo dessas campanhas.
Ambientes de Kubernetes, por exemplo, podem conter serviços expostos acidentalmente, configurações inadequadas ou componentes vulneráveis. Outras campanhas recentes analisadas pela FortiGuard demonstram como uma configuração incorreta ou serviço exposto pode permitir que botnets mantenham presença prolongada em ambientes de nuvem e contêineres.
Por que CVEs antigas continuam perigosas
Um dos maiores problemas explorados pela Evooo1Bot é a diferença entre existência de uma correção e aplicação efetiva da correção.
Roteadores, câmeras, firewalls e gateways frequentemente permanecem em operação durante anos. Em alguns casos, o administrador sequer possui um inventário preciso dos modelos e versões de firmware instalados.
Para um atacante automatizado, entretanto, essa situação é extremamente conveniente. Basta realizar varreduras em larga escala e procurar equipamentos que respondam de maneira compatível com determinado exploit.
A experiência com o ecossistema Mirai mostra que essa estratégia continua funcionando. A FortiGuard, por exemplo, documentou campanhas nas quais vulnerabilidades antigas de roteadores foram exploradas para distribuir diferentes famílias de malware.
Por isso, uma vulnerabilidade antiga não significa uma ameaça ultrapassada. Se o equipamento continua conectado e vulnerável, ela pode representar uma porta de entrada completamente atual.
O perigo da transformação em proxy SOCKS5
É justamente nesse ponto que a ameaça Evooo1Bot se torna particularmente preocupante.
O SOCKS5 é um protocolo legítimo utilizado para encaminhar conexões através de um servidor intermediário. Quando esse recurso é instalado clandestinamente em um roteador ou gateway comprometido, porém, o dispositivo pode ser transformado em um relay controlado remotamente.
Na prática, o atacante pode enviar uma conexão para o equipamento infectado e fazer com que ela seja encaminhada para outro destino. Para o servidor de destino, parte do tráfego pode aparentar ter origem no endereço IP da vítima.
Isso cria uma camada adicional de anonimização.
Um criminoso pode, por exemplo, utilizar uma cadeia de dispositivos comprometidos para dificultar a atribuição de uma atividade. Também pode explorar a localização geográfica dos endereços IP para contornar determinadas restrições regionais, acessar serviços destinados a outras regiões ou mascarar a origem de ataques.
O risco é ainda maior em redes corporativas. Um equipamento de borda comprometido pode possuir acesso privilegiado ou visibilidade sobre segmentos internos que não deveriam estar diretamente acessíveis pela internet.
Como reduzir o risco de infecção
Administradores Linux e responsáveis por infraestrutura de rede devem tratar equipamentos de borda como ativos críticos de segurança, e não como dispositivos que podem ser esquecidos depois da instalação.
Algumas medidas são especialmente importantes:
Atualize firmware e sistemas operacionais. Verifique regularmente se roteadores, firewalls, câmeras, NAS e gateways possuem versões corrigidas para vulnerabilidades conhecidas.
Remova serviços desnecessários da internet. Telnet, SSH administrativo, interfaces web e APIs de gerenciamento não devem ficar expostos sem necessidade.
Substitua credenciais padrão. Senhas de fábrica são um alvo recorrente de botnets inspiradas no Mirai.
Prefira autenticação por chave no SSH. Quando SSH for indispensável, utilize chaves, restrições de origem e mecanismos adicionais de proteção.
Monitore conexões de saída. Um roteador ou dispositivo IoT que normalmente não estabelece conexões externas pode indicar comprometimento quando começa a realizar conexões persistentes.
Observe tráfego SOCKS. Conexões anormais, especialmente quando associadas a equipamentos que não deveriam funcionar como proxies, merecem investigação.
Segmente dispositivos IoT. Equipamentos de borda e dispositivos embarcados devem ficar isolados de servidores e estações críticas sempre que possível.
Mantenha inventário atualizado. É impossível corrigir uma vulnerabilidade em um equipamento que a organização nem sabe que existe.
Use monitoramento de integridade. Alterações inesperadas em cron, serviços, scripts de inicialização, perfis de shell e processos podem fornecer indicadores de comprometimento.
Em ambientes corporativos, também é recomendável combinar gestão de vulnerabilidades, IDS/IPS, análise de DNS, monitoramento de comportamento e segmentação de rede. A própria FortiGuard destaca que campanhas modernas contra infraestrutura exposta frequentemente combinam exploração inicial com cargas maliciosas posteriores.
Conclusão: Evooo1Bot amplia o risco para ecossistemas Linux
A botnet Evooo1Bot representa uma evolução importante no uso de dispositivos Linux comprometidos. Ao combinar componentes derivados do Mirai, exploração de vulnerabilidades, ataques DDoS, coleta de credenciais e proxy SOCKS5, a ameaça transforma equipamentos de borda em infraestrutura reutilizável para diferentes operações criminosas.
O maior alerta não está apenas na existência de mais uma botnet, mas na facilidade com que dispositivos esquecidos podem ser incorporados a essas redes. Roteadores, gateways, câmeras e outros equipamentos Linux expostos são computadores completos do ponto de vista do atacante, mesmo quando o proprietário os enxerga apenas como aparelhos de rede.
A defesa começa pelo básico: inventário, atualização, redução da superfície de ataque, credenciais fortes, segmentação e monitoramento. Organizações que ainda mantêm equipamentos com firmware antigo ou serviços administrativos expostos devem revisar essa infraestrutura quanto antes.
Verifique o status de atualização dos seus roteadores, gateways e servidores Linux, principalmente aqueles diretamente conectados à internet. Uma vulnerabilidade aparentemente antiga pode ser exatamente a porta de entrada que uma botnet moderna está procurando.