Evooo1Bot è una nuova famiglia di botnet Linux che prende spunto dal codice sorgente di Mirai ma amplia in modo significativo le funzionalità, puntando soprattutto ai dispositivi esposti su Internet come router, firewall, telecamere IP e altri edge device. La minaccia sfrutta vulnerabilità note per ottenere l’esecuzione di codice da remoto o l’iniezione di comandi e trasformare rapidamente i sistemi compromessi in nodi utili per attacchi e anonimizzazione del traffico.
L’attività osservata risale almeno a luglio 2026 e mostra un approccio opportunistico basato su un arsenale di exploit che colpisce prodotti di diversi vendor. Tra i bersagli compaiono apparati di rete e dispositivi industriali con falle identificate da CVE, inclusi modelli Alcatel, NETGEAR, Tenda, Mitsubishi Electric, Telesquare e D-Link. Una volta ottenuto l’accesso, l’infezione procede tramite uno script loader che scarica il binario corretto in base all’architettura CPU del dispositivo. Un dettaglio rilevante è la cancellazione della cronologia di Bash, usata per ridurre le tracce e complicare le analisi forensi.
Dopo l’esecuzione, Evooo1Bot effettua controlli per individuare ambienti di analisi, sandbox e virtual machine, quindi stabilisce comunicazioni cifrate con un server di comando e controllo sulla porta 443. Questa scelta aiuta a confondersi con il traffico HTTPS e a superare controlli perimetrali meno rigorosi. Una volta registrato l’host, il malware resta in attesa di comandi e può attivare persistenza, aggiornarsi, caricare o scaricare file e aprire una shell interattiva.
La componente più pericolosa è il modulo proxy, che converte il dispositivo infetto in un proxy SOCKS5. In questo modo un attaccante può usare l’indirizzo IP della vittima come relay per operazioni successive, eludere controlli geografici e mascherare attività malevole. In scenari su larga scala, la stessa capacità consente di costruire una infrastruttura di proxy distribuiti, potenzialmente monetizzabile come servizio.
Oltre al proxy, Evooo1Bot integra brute force SSH, intercettazione di credenziali e header HTTP come Basic Authorization e Cookie, e funzioni DDoS su DNS, TCP e UDP. Include anche un dispatcher per sfruttare altre vulnerabilità note, aumentando la capacità di propagazione e l’impatto su reti con dispositivi non aggiornati.