Pesquisadores de cibersegurança identificaram uma família de botnet para Linux até então não documentada, batizada de Evooo1Bot. Baseado no código-fonte da botnet Mirai, o malware foi projetado para transformar dispositivos expostos à internet em proxies SOCKS5.
As capacidades do malware vão além da criação de nós proxy e incluem roubo de credenciais, força bruta por SSH e a execução de ataques distribuídos de negação de serviço, os DDoS.
As evidências indicam que a botnet está ativa em ambiente real desde julho de 2026, explorando vulnerabilidades conhecidas em dispositivos acessíveis publicamente para distribuir o malware. Entre os alvos estão equipamentos de fabricantes como Alcatel, NETGEAR, Tenda, Mitsubishi Electric, Telesquare e D-Link, em diferentes regiões, usando falhas já documentadas.
“Embora o malware reutilize o mecanismo de DDoS do código-fonte da Mirai, divulgado publicamente, ele amplia a estrutura original com várias capacidades, incluindo comunicações C2 criptografadas, um scanner de força bruta para SSH, um módulo de retransmissão SOCKS, um capturador de credenciais e um arsenal integrado de exploit voltado a diversas vulnerabilidades conhecidas”, afirmou a Fortinet FortiGuard Labs.
Entre as falhas exploradas pela botnet estão
CVE-2007-3010
, uma vulnerabilidade de execução remota de código em Alcatel OmniPCX Enterprise;
CVE-2016-6277
, em vários roteadores NETGEAR;
CVE-2018-14558
, em roteadores Tenda AC7, AC9 e AC10;
CVE-2019-14931
, em dispositivos Mitsubishi Electric Europe B.V. ME-RTU e INEA ME-RTU;
CVE-2020-10987
, no modelo AC15 do roteador Tenda AC1900;
CVE-2021-46422
, no Telesquare SDT-CW3B1;
CVE-2022-37055
, uma falha de estouro de buffer em roteadores D-Link;
CVE-2024-29269
, no Telesquare TLR-2005KSH;
CVE-2025-10123
, no D-Link DIR-823X; e
CVE-2025-55583
, no roteador D-Link DIR-868L B1.
Versões mais recentes incluem um módulo separado de exploração de vulnerabilidades, com foco em Hikvision, Atlassian Confluence, firewalls Zyxel, roteadores TP-Link, dispositivos NAS da D-Link, produtos da WSO2, Kubernetes ingress-nginx e instalações vulneráveis de PHP-CGI. O módulo de ataque a CVE inclui a capacidade de lançar exploit contra oito falhas de segurança que afetam Hikvision (
CVE-2021-36260
), Atlassian Confluence (
CVE-2022-26134
), WSO2 (
CVE-2022-29464
), Zyxel (
CVE-2022-30525
), TP-Link (
CVE-2023-1389
), PHP (CVE-2024-4577), D-Link (
CVE-2024-10914
) e Kubernetes (
CVE-2025-1974
).
A Fortinet observa, porém, que alguns dos exploits embutidos não foram implementados corretamente, o que faz com que a exploração falhe em certos casos.
Quando a exploração é bem-sucedida, o sistema executa um script shell loader, “wget.sh”, hospedado em um servidor externo, “91.92.40[.]118”, que baixa o binário da botnet compatível com a arquitetura de CPU do dispositivo. Em seguida, o script apaga o histórico do Bash para ocultar vestígios do ataque.
Ao ser executado, o binário verifica a presença de ferramentas de análise, sandboxes e ambientes virtuais antes de estabelecer comunicações criptografadas com um servidor de comando e controle, ou C2, na porta 443. A escolha dessa porta é intencional, pois ajuda o malware a se misturar ao tráfego HTTPS esperado na borda da rede. Depois que o host é registrado no servidor C2, ele aguarda novos comandos.
A Fortinet afirmou que o malware usa verificações extensas em busca de depuradores, ferramentas de segurança, sandboxes, máquinas virtuais, containers e honeypots antes de se executar no dispositivo infectado.
A persistência é estabelecida por meio de systemd, SysV init, perfis do shell e rc.local, enquanto uma tarefa cron tenta baixar novamente o payload a cada cinco minutos.
O malware oferece uma série de comandos que permitem ao operador instalar mecanismos de persistência, atualizar o binário, encerrar a botnet, enviar e baixar arquivos, abrir um shell interativo, interceptar cabeçalhos de Autorização Básica HTTP e Cookie, transformar o host em um nó proxy, iniciar um scanner de força bruta para SSH, disparar ataques DDoS via DNS, TCP e UDP e acionar um módulo de distribuição de exploit baseado em HTTP para explorar falhas conhecidas.
Um shell interativo dá aos operadores controle direto sobre os sistemas comprometidos, e os comandos de transferência de arquivos permitem uploads e downloads. O malware também inclui um módulo de captura de credenciais que monitora ‘/proc/net/tcp’ e tenta coletar cabeçalhos de autenticação HTTP Basic e Cookie.
O módulo SOCKS5 oferece modos de escuta direta e retransmissão reversa, permitindo que atacantes ocultem tráfego malicioso, contornem restrições geográficas ou, potencialmente, acessem redes por meio de sistemas comprometidos. Já o componente de proxy transforma um roteador infectado, firewall, câmera IP ou outro dispositivo de borda em um proxy SOCKS5 que o threat actor pode usar como retransmissor de rede para conduzir operações subsequentes e dificultar a detecção.
A Fortinet afirma que as sessões de proxy funcionam de forma independente e que várias podem ser abertas ao mesmo tempo, o que permite monetização por meio de serviços de proxy residencial, caso a botnet cresça o suficiente.
“Essa capacidade aumenta significativamente o valor de um host infectado para os atacantes”, disse a Fortinet. “O endereço IP da vítima pode ser usado para disfarçar tráfego malicioso, contornar restrições geográficas ou fornecer acesso a redes internas por meio de uma máquina já comprometida.”
“Em botnets maiores, a mesma funcionalidade também pode ser usada para criar uma infraestrutura distribuída de proxies, permitindo o encaminhamento anônimo de tráfego ou a monetização por meio de serviços de proxy residenciais e corporativos.”
O módulo de scanner de SSH usa 150 combinações de nome de usuário e senha voltadas a contas corporativas e realiza verificações após o login para evitar honeypots.
Por fim, o módulo de DDoS herdado do Mirai oferece 16 métodos de inundação, incluindo UDP, DNS, SYN, ACK, GRE, TCP fragmentado e um flood HTTP com requisições personalizáveis.
Para se defender de malware de botnet, mantenha o firmware dos dispositivos IoT atualizado, substitua as credenciais administrativas padrão, desative painéis de acesso remoto e troque os equipamentos quando o fornecedor deixar de oferecer suporte.
Publicidade
Nossa audiência é formada por analistas, pentesters, decisores e entusiastas que consomem nossas notícias todo dia pelo Site, Newsletter e Instagram. Fale com quem realmente importa para o seu negócio. Anuncie aqui. Saiba mais...