Wprowadzenie do problemu / definicja
Evooo1Bot to nowo opisana rodzina botnetu dla systemów Linux, której celem są publicznie dostępne urządzenia brzegowe, w tym routery, zapory sieciowe, kamery IP oraz inne systemy IoT. Zagrożenie wyróżnia się tym, że nie służy wyłącznie do klasycznych ataków DDoS, ale potrafi również przekształcać przejęte hosty w węzły proxy SOCKS5, co zwiększa ich wartość operacyjną dla cyberprzestępców.
W praktyce oznacza to, że zainfekowane urządzenia mogą zostać wykorzystane jako pośrednia infrastruktura do ukrywania ruchu, prowadzenia dalszych ataków, obchodzenia mechanizmów detekcji i wspierania kolejnych kampanii ofensywnych.
W skrócie
Evooo1Bot częściowo bazuje na publicznie dostępnym kodzie Mirai, ale rozwija jego możliwości o dodatkowe funkcje operacyjne i antyanalityczne. Malware wykorzystuje znane podatności w urządzeniach wystawionych do internetu, uruchamia loader w formie skryptu powłoki, a następnie pobiera odpowiedni wariant binarny dopasowany do architektury procesora ofiary.
- wykorzystuje znane luki w urządzeniach edge i IoT,
- komunikuje się szyfrowanym kanałem C2 przez port 443,
- uruchamia moduł proxy SOCKS5,
- obsługuje brute force SSH i przechwytywanie poświadczeń,
- może dalej rozprzestrzeniać się przez kolejne exploity.
Kontekst / historia
Kampania wpisuje się w wieloletni trend nadużywania słabo zabezpieczonych urządzeń IoT i systemów brzegowych. Już botnet Mirai pokazał, że routery, kamery czy rejestratory wideo mogą zostać bardzo szybko przekształcone w rozproszoną infrastrukturę atakującą, jeśli pozostają nieaktualizowane lub korzystają z domyślnych ustawień bezpieczeństwa.
Evooo1Bot stanowi kolejny etap tej ewolucji. Z obserwacji badaczy wynika, że aktywność botnetu była widoczna od lipca 2026 roku. Kluczowe jest to, że operatorzy nie opierają się wyłącznie na nowych technikach, lecz skutecznie wykorzystują publicznie znane i możliwe do zautomatyzowania podatności, co pokazuje, że problemem pozostaje przede wszystkim opóźnione łatanie urządzeń dostępnych z internetu.
Analiza techniczna
Łańcuch infekcji rozpoczyna się od wykorzystania znanych podatności typu zdalne wykonanie kodu lub command injection w urządzeniach sieciowych i embedded. Wśród obserwowanych celów znajdują się rozwiązania takich producentów jak Alcatel, NETGEAR, Tenda, Mitsubishi Electric, Telesquare oraz D-Link.
Po skutecznym wykorzystaniu luki uruchamiany jest skrypt loadera określany jako wget.sh. Jego zadaniem jest pobranie właściwego pliku wykonywalnego dla architektury CPU ofiary. Następnie skrypt usuwa historię Bash, ograniczając liczbę artefaktów powłamaniowych i utrudniając analizę incydentu.
Po uruchomieniu binarki malware sprawdza obecność środowisk sandbox, maszyn wirtualnych i narzędzi analitycznych. To wskazuje na zastosowanie podstawowych mechanizmów unikania analizy, które mają utrudnić pracę analitykom bezpieczeństwa oraz systemom detekcji behawioralnej.
Komunikacja z infrastrukturą dowodzenia i kontroli odbywa się w sposób szyfrowany przez port 443. Taki wybór ułatwia ukrycie aktywności wśród zwykłego ruchu sieciowego, ponieważ sesje na tym porcie często wyglądają jak standardowa komunikacja HTTPS. Po rejestracji zainfekowanego hosta operator może wydawać polecenia dotyczące aktualizacji malware’u, instalacji mechanizmów trwałości, przesyłania plików, uruchamiania interaktywnej powłoki czy zakończenia procesu botnetu.
Najważniejsze moduły Evooo1Bot obejmują:
- SOCKS5 proxy – przejęte urządzenie staje się węzłem pośredniczącym dla ruchu napastnika,
- SSH brute-force scanner – malware wyszukuje kolejne cele i próbuje przejmować je metodą siłową,
- credential sniffer – bot przechwytuje nagłówki HTTP Basic Authorization oraz Cookie,
- exploit dispatcher – moduł umożliwia uruchamianie kolejnych exploitów wobec znanych podatności.
Badacze wiążą kampanię także z wykorzystywaniem luk dotyczących m.in. Hikvision, Atlassian Confluence, WSO2, Zyxel, TP-Link, PHP, D-Link oraz komponentów powiązanych z Kubernetes. To oznacza, że botnet nie ogranicza się do jednego typu urządzeń, lecz może wspierać półautomatyczne rozszerzanie zasięgu ataków na różne klasy systemów dostępnych z internetu.
Konsekwencje / ryzyko
Najpoważniejszą konsekwencją działania Evooo1Bot jest zmiana roli przejętego urządzenia z pasywnej ofiary w aktywny element infrastruktury przestępczej. Router, kamera IP lub firewall mogą zostać użyte jako punkt pośredni do ukrywania złośliwego ruchu, prowadzenia rekonesansu, obchodzenia ograniczeń geograficznych, a także prób dalszej penetracji środowiska organizacji.
Ryzyko ma charakter wielowarstwowy. Po pierwsze, kompromitacja urządzenia edge może przez długi czas pozostać niewidoczna, ponieważ ruch przez port 443 i umiarkowana aktywność nie zawsze wyglądają podejrzanie. Po drugie, przechwytywanie poświadczeń i ciasteczek sesyjnych zwiększa ryzyko wtórnego przejęcia kont i usług. Po trzecie, moduł DDoS sprawia, że zasoby ofiary mogą zostać użyte do atakowania innych podmiotów, co rodzi skutki operacyjne, prawne i reputacyjne.
Dodatkowo funkcja SOCKS5 znacząco podnosi wartość zainfekowanych hostów. Tego typu urządzenia mogą zostać wykorzystane jako rozproszona sieć proxy wspierająca anonimowy forwarding ruchu albo jako element infrastruktury wynajmowanej lub sprzedawanej na potrzeby kolejnych kampanii cyberprzestępczych.
Rekomendacje
Organizacje powinny potraktować tę kampanię jako sygnał do pilnego przeglądu bezpieczeństwa urządzeń brzegowych, IoT i systemów zdalnie dostępnych. Najważniejsze działania ochronne obejmują zarówno ograniczenie powierzchni ataku, jak i poprawę monitorowania oraz zarządzania podatnościami.
- przeprowadzić pełną inwentaryzację urządzeń wystawionych do internetu,
- zweryfikować poziom poprawek bezpieczeństwa i niezwłocznie załatać znane luki,
- ograniczyć publiczną ekspozycję paneli administracyjnych i interfejsów zarządzania,
- wyłączyć zbędne usługi zdalne, szczególnie na urządzeniach edge,
- wymusić silne hasła i usunąć możliwość logowania domyślnymi poświadczeniami,
- monitorować nietypowe połączenia wychodzące, zwłaszcza długotrwałe sesje przez port 443 do nieznanych adresów,
- analizować ślady pobierania loaderów, czyszczenia historii powłoki i uruchamiania binarek dla różnych architektur,
- wdrożyć segmentację sieci, aby ograniczyć możliwość wykorzystania urządzenia jako pomostu do systemów wewnętrznych,
- monitorować próby brute force SSH oraz anomalie wskazujące na wykorzystanie funkcji proxy,
- objąć urządzenia IoT i OT taką samą dyscypliną patch management oraz telemetryczną jak serwery i stacje robocze.
W środowiskach o podwyższonym poziomie ryzyka warto również rozważyć dostęp administracyjny wyłącznie przez VPN, stosowanie list kontroli dostępu oraz oddzielenie ruchu zarządczego od produkcyjnego.
Podsumowanie
Evooo1Bot pokazuje, że znane podatności w urządzeniach brzegowych nadal pozostają bardzo skutecznym wektorem ataku. Botnet rozwija model Mirai o szyfrowaną komunikację C2, moduł proxy SOCKS5, przechwytywanie poświadczeń, skaner SSH i zestaw exploitów na popularne luki.
Dla zespołów bezpieczeństwa to wyraźne ostrzeżenie, że urządzenia edge nie mogą pozostawać poza procesem aktualizacji, monitorowania i detekcji. Nawet pojedynczy niezałatany router lub kamera mogą stać się częścią większej infrastruktury wspierającej działania cyberprzestępcze.
Źródła
- The Hacker News – Evooo1Bot Linux Botnet Exploits Known Flaws to Turn Edge Devices Into SOCKS5 Proxies – https://thehackernews.com/2026/08/evooo1bot-linux-botnet-exploits-known.html
- NVD – CVE-2021-36260 – https://nvd.nist.gov/vuln/detail/CVE-2021-36260
- NVD – CVE-2022-26134 – https://nvd.nist.gov/vuln/detail/CVE-2022-26134
- NVD – CVE-2023-1389 – https://nvd.nist.gov/vuln/detail/CVE-2023-1389
- NVD – CVE-2024-4577 – https://nvd.nist.gov/vuln/detail/CVE-2024-4577