새로운 악성 봇넷 Evooo1Bot은 라우터를 비롯해 일부 카메라, 방화벽, 네트워크 연결 스토리지 장치 등 인터넷에 연결된 게이트웨이 장치를 대상으로 하며, 이를 SOCKS5 프로토콜을 통한 트래픽 릴레이 노드로 전환한다. Mirai 프레임워크를 기반으로 구축된 이 악성코드는 이러한 기능과 함께 자격 증명 탈취, SSH 서비스 스캔, 분산 서비스 거부 공격 실행 등의 기능도 결합한다.
공개된 정보에 따르면 이 캠페인은 적어도 7월부터 장치를 대상으로 공격을 시작했으며, 여러 지역에서 Alcatel, NETGEAR, Tenda, Mitsubishi Electric, Telesquare, D-Link 제품을 포함했다. Fortinet 연구진은 Evooo1Bot이 유출된 Mirai 소스 코드에서 DDoS 공격 엔진을 재사용하지만, 암호화된 명령 및 제어 서버 통신 기능, SSH 공격 스캐너, SOCKS 릴레이 모듈, 자격 증명 센서, 내장된 익스플로잇 모음으로 프레임워크를 확장했다고 밝혔다.
다양한 제품과 취약점 표적
최신 버전에는 Hikvision 카메라, Atlassian Confluence 제품, Zyxel 방화벽, TP-Link 장치, D-Link NAS 장치, WSO2 제품, Kubernetes ingress-nginx, 취약한 PHP-CGI 설치 환경을 대상으로 하는 별도의 취약점 악용 모듈이 포함되어 있다. 그러나 Fortinet 연구진은 내장된 일부 익스플로잇이 잘못 구현되어 침해 시도가 실패한다고 지적했다.
익스플로잇이 성공하면 악성코드는 표적 장치의 프로세서 아키텍처에 맞는 12개 제공 페이로드 버전 중 하나를 다운로드한 다음, 공격 흔적을 제거하기 위해 Bash 기록을 삭제한다. 또한 감염된 장치에서 활동을 시작하기 전에 디버깅 도구, 보안 소프트웨어, 테스트 환경, 샌드박스, 가상 머신, 컨테이너, 허니팟의 존재를 확인한다.
트래픽 릴레이와 장치 제어
Evooo1Bot은 systemd, SysV init, 셸 프로필, rc.local을 통해 지속성을 확보하며, cron 작업은 5분마다 페이로드를 다시 다운로드하려고 시도한다. 봇넷 운영자는 감염된 시스템을 직접 제어할 수 있는 대화형 셸 접근 권한과 파일 업로드 및 다운로드 명령을 제공받는다.
자격 증명 센서는 /proc/net/tcp 파일을 모니터링하고 HTTP Basic Authentication 헤더와 Cookie를 가로채려고 시도한다. SOCKS5 모듈은 직접 수신 모드와 역방향 릴레이 모드를 지원하므로, 공격자는 악성 트래픽을 숨기거나 지리적 제한을 우회하거나 감염된 시스템을 통해 네트워크에 접근하려고 시도할 수 있다. 릴레이 세션은 독립적으로 작동하며 여러 세션을 동시에 열 수 있으므로, 확산될 경우 주거용 프록시 서비스로 네트워크를 상업적으로 악용할 수 있다.
SSH 스캔과 DDoS 공격
악성코드의 SSH 스캐너는 기업 환경을 겨냥한 사용자 이름과 비밀번호 150개 조합을 사용한 다음, 허니팟을 피하기 위해 로그인 후 검사를 수행한다. Mirai에서 물려받은 DDoS 모듈은 UDP, DNS, SYN, ACK, GRE, 분할 TCP를 포함한 16가지 플러딩 방식을 지원하며, 사용자 지정이 가능한 요청을 이용한 HTTP 플러딩도 지원한다.
이러한 악성코드의 위험을 줄이기 위해 관련 지침은 사물 인터넷 장치의 펌웨어를 업데이트하고, 기본 관리자 자격 증명을 변경하며, 원격 액세스 패널을 비활성화하고, 공급업체가 더 이상 지원하지 않는 장치를 교체할 것을 권고한다.