A nova botnet maliciosa Evooo1Bot tem como alvo dispositivos de gateway conectados à internet, incluindo roteadores, algumas câmeras, firewalls e unidades de armazenamento em rede, com o objetivo de transformá-los em nós para retransmitir tráfego por meio do protocolo SOCKS5. O malware, baseado no framework Mirai, combina essa função com outros recursos, incluindo roubo de credenciais, varredura de serviços SSH e execução de ataques distribuídos de negação de serviço.
A campanha, de acordo com as informações disponíveis, começou a visar dispositivos pelo menos desde julho e incluiu produtos da Alcatel, NETGEAR, Tenda, Mitsubishi Electric, Telesquare e D-Link em diferentes regiões. Pesquisadores da Fortinet disseram que a Evooo1Bot reutiliza o mecanismo de ataques DDoS do código-fonte vazado do Mirai, mas amplia o framework com recursos de comunicação criptografada com servidores de comando e controle, um scanner de ataques SSH, um módulo de retransmissão SOCKS, um coletor de credenciais e um conjunto integrado de exploits.
Alvo em múltiplos produtos e vulnerabilidades
As versões mais recentes incluem um módulo separado de exploração de vulnerabilidades, que tem como alvo câmeras Hikvision, produtos Atlassian Confluence, firewalls Zyxel, dispositivos TP-Link, unidades D-Link NAS, produtos WSO2, Kubernetes ingress-nginx e instalações vulneráveis do PHP-CGI. No entanto, pesquisadores da Fortinet observaram que alguns exploits incorporados foram implementados de forma incorreta, o que causa a falha das tentativas de invasão.
Quando a exploração é bem-sucedida, o malware baixa uma das 12 versões disponíveis da carga útil, de acordo com a arquitetura do processador do dispositivo-alvo, e depois limpa o histórico do Bash na tentativa de remover os vestígios do ataque. Ele também verifica a presença de ferramentas de depuração, softwares de segurança, ambientes de teste, sandboxes, máquinas virtuais, contêineres e honeypots antes de começar a operar no dispositivo infectado.
Retransmissão de tráfego e controle dos dispositivos
A Evooo1Bot estabelece persistência por meio do systemd, do SysV init, de arquivos de perfil do shell e do rc.local, enquanto uma tarefa do cron tenta baixar novamente a carga útil a cada cinco minutos. Os operadores da rede obtêm acesso a um shell interativo para controlar diretamente os sistemas comprometidos, além de comandos para enviar e baixar arquivos.
O coletor de credenciais monitora o arquivo /proc/net/tcp e tenta capturar cabeçalhos HTTP Basic Authentication e Cookie. Já o módulo SOCKS5 oferece suporte aos modos de escuta direta e retransmissão reversa, permitindo que os invasores ocultem tráfego malicioso, contornem restrições geográficas ou tentem acessar redes por meio dos sistemas comprometidos. As sessões de retransmissão funcionam de forma independente, com a possibilidade de abrir várias sessões simultaneamente, o que pode permitir a exploração comercial da rede por meio de serviços de proxy residencial caso ela se expanda.
Varredura SSH e ataques DDoS
O scanner SSH do malware utiliza 150 combinações de nomes de usuário e senhas para contas direcionadas a ambientes corporativos e depois realiza verificações após o login para evitar honeypots. O módulo DDoS herdado do Mirai oferece suporte a 16 métodos de inundação, incluindo UDP, DNS, SYN, ACK, GRE e TCP fragmentado, além de inundação HTTP com solicitações personalizáveis.
Para reduzir o risco representado por esse malware, as orientações apresentadas recomendam atualizar o firmware dos dispositivos de Internet das Coisas, substituir as credenciais administrativas padrão, desativar os painéis de acesso remoto e substituir dispositivos cujos fornecedores deixaram de oferecer suporte.