Evooo1Bot Linux ботнет ги искористува познатите ранливости за претворање на Edge уредите во SOCKS5 прокси-сервери

Истражувачите за сајбер-безбедност предупредија на претходно недокументирана Linux ботнет фамилија, наречена Evooo1Bot, која ја презема основната функционалност од изворниот код на Mirai ботнетот и е опремена за претворање на уредите достапни од интернет во SOCKS прокси-сервери.

„Иако малициозниот софтвер повторно го користи DDoS engine-от од јавно протечениот изворен код на Mirai, тој го проширува оригиналниот framework со бројни можности, вклучително и шифрирана C2 комуникација, SSH brute-force скенер, SOCKS relay модул, credential sniffer и интегриран арсенал за експлоатација насочен кон повеќе познати ранливости“, соопштија Fortinet FortiGuard Labs.

Доказите покажуваат дека ботнетот е активен во реални услови (in the wild) од јули 2026 година, при што ги искористува познатите ранливости во јавно достапни уреди за доставување на малициозниот софтвер.

Некои од безбедносните пропусти што ги злоупотребува ботнетот се:

• CVE-2007-3010 – ранливост за далечинско извршување код (Remote Code Execution) во Alcatel OmniPCX Enterprise.
• CVE-2016-6277 – ранливост за далечинско извршување код во повеќе NETGEAR рутери.
• CVE-2018-14558 – ранливост за Command Injection во Tenda AC7, AC9 и AC10 рутери.
• CVE-2019-14931 – ранливост за далечински Command Injection во Mitsubishi Electric Europe B.V. ME-RTU и INEA ME-RTU уреди.
• CVE-2020-10987 – ранливост за далечинско извршување код во Tenda AC1900 AC15 рутер.
• CVE-2021-46422 – ранливост за Command Injection во Telesquare SDT-CW3B1.
• CVE-2022-37055 – ранливост од типот Buffer Overflow во D-Link рутери.
• CVE-2024-29269 – ранливост за Command Injection во Telesquare TLR-2005KSH.
• CVE-2025-10123 – ранливост за Command Injection во D-Link DIR-823X.
• CVE-2025-55583 – ранливост за Command Injection во D-Link DIR-868L B1 рутер.

Како се инфицираат уредите

Успешната експлоатација доведува до извршување на loader shell скрипта „wget.sh“, хостирана на надворешен сервер:

91.92.40[.]118

Скриптата потоа ја презема ботнет бинарната датотека која е компатибилна со архитектурата на процесорот на конкретниот уред.

Потоа скриптата ја брише Bash history, со цел да ги отстрани трагите од нападот.

По извршувањето, бинарната датотека проверува дали на системот постојат алатки за анализа, sandbox околини и виртуелни средини, пред да воспостави шифрирана комуникација со командно-контролниот (C2) сервер на порта 443.

Изборот на портата 443 е намерен бидејќи му овозможува на малициозниот софтвер да се меша со очекуваниот HTTPS сообраќај на мрежниот периметар.

Откако уредот ќе биде регистриран кај C2 серверот, ботнетот чека дополнителни команди за извршување на различни активности.

Функционалности на Evooo1Bot

Evooo1Bot поддржува голем број команди кои му овозможуваат на операторот:

• да инсталира механизми за перзистентност;
• да ја ажурира бинарната датотека;
• да го прекине работењето на ботот;
• да поставува и презема датотеки;
• да стартува интерактивен shell;
• да ги пресретнува HTTP Basic Authorization и Cookie headers;
• да го претвори заразениот уред во proxy node;
• да стартува SSH brute-force скенер;
• да иницира DDoS напади преку DNS, TCP и UDP;
• да активира HTTP-based exploit dispatcher за експлоатирање на познати ранливости.

На овој начин, Evooo1Bot не служи само како класичен DDoS ботнет, туку комбинира повеќе функционалности – од кражба на акредитиви и proxying, до брутално форсирање на SSH и автоматска експлоатација на ранливи интернет-достапни уреди.

Модулот за CVE напади има можност да активира експлоатации за осум безбедносни ранливости кои ги засегаат Hikvision (CVE-2021-36260), Atlassian Confluence (CVE-2022-26134), WSO2 (CVE-2022-29464), Zyxel (CVE-2022-30525), TP-Link (CVE-2023-1389), PHP (CVE-2024-4577), D-Link (CVE-2024-10914) и Kubernetes (CVE-2025-1974).

Од друга страна, proxy компонентата го претвора заразениот рутер, firewall, IP камера или друг edge уред во SOCKS5 proxy, кој актерот за закани може да го користи како мрежен посредник (network relay) за извршување дополнителни активности и избегнување на детекција.

Fortinet наведува:

„Оваа можност значително ја зголемува вредноста на заразениот уред за напаѓачите. IP адресата на жртвата може да се користи за прикривање на малициозниот сообраќај, заобиколување на географски ограничувања или обезбедување пристап до интерни мрежи преку веќе компромитиран уред.“

„Кај поголемите ботнети, истата функционалност може да се користи и за изградба на дистрибуирана proxy инфраструктура, која овозможува анонимно проследување на сообраќајот или монетизација преку residential и enterprise proxy услуги.“

Извори:

• The Hacker News – Evooo1Bot Linux Botnet Exploits Known Flaws to Turn Edge Devices Into SOCKS5 Proxies The Hacker News