Evooo1Bot trasforma gateway Linux in relay SOCKS5 per attacchi e furto di credenziali

Una nuova botnet prende di mira i dispositivi esposti

Evooo1Bot è una botnet Linux modulare derivata da Mirai, osservata almeno da luglio e segnalata il 15 agosto 2026. L’operazione colpisce dispositivi gateway raggiungibili da Internet, trasformandoli in nodi per il traffico SOCKS5 e in piattaforme per ulteriori attacchi.

I dispositivi interessati appartengono ad almeno sei produttori: Alcatel, NETGEAR, Tenda, Mitsubishi Electric, Telesquare e D-Link. Le versioni esatte dei prodotti vulnerabili non sono state rese note.

L’infezione sfrutta vulnerabilità già conosciute nei dispositivi esposti. Le versioni più recenti di Evooo1Bot includono inoltre moduli specifici per attaccare videocamere Hikvision, Atlassian Confluence, firewall Zyxel, router TP-Link, dispositivi D-Link NAS, prodotti WSO2, Kubernetes ingress-nginx e installazioni vulnerabili di PHP-CGI.

Non tutti gli exploit sembrano funzionare correttamente. Fortinet segnala che alcuni sono stati implementati in modo errato e non portano quindi a una compromissione riuscita. Quando invece l’attacco ha successo, il dispositivo scarica il malware compatibile con la propria architettura.

Dodici build e una catena di persistenza

Evooo1Bot dispone di 12 build differenti. Il campione seleziona quella adatta alla CPU del dispositivo compromesso, aumentando la probabilità di esecuzione su hardware gateway eterogeneo.

Prima di avviarsi, il malware cerca debugger, strumenti di sicurezza, sandbox, macchine virtuali, container e honeypot. L’obiettivo è ridurre il rischio di analisi e impedire che l’infezione venga osservata in ambienti controllati.

La persistenza può essere configurata attraverso diversi meccanismi Linux:

• servizi systemd;
• script SysV init;
• profili della shell;
• rc.local;
• attività cron.

Il job cron tenta di scaricare nuovamente il payload ogni cinque minuti. Questo comportamento può consentire al malware di ripristinarsi dopo la rimozione del processo principale o dopo un intervento soltanto parziale.

Al termine dell’infezione, Evooo1Bot elimina la cronologia di Bash. La misura riduce le tracce lasciate dai comandi eseguiti durante l’accesso e la configurazione del dispositivo.

Un’infrastruttura per proxy, DDoS e accessi abusivi

La botnet conserva il motore per gli attacchi DDoS derivato dal codice sorgente di Mirai, pubblicato illegalmente, ma lo affianca a funzioni più ampie.

Le comunicazioni con l’infrastruttura di comando e controllo sono cifrate sulla porta 443. Il malware offre inoltre una shell interattiva, comandi per il caricamento e il download di file e uno scanner SSH che tenta l’accesso con 150 combinazioni di nomi utente e password orientate ad account aziendali.

Dopo un login SSH riuscito, il codice esegue controlli per evitare gli honeypot. La botnet non si limita quindi a sfruttare vulnerabilità automatiche: può anche propagarsi attraverso credenziali deboli o riutilizzate.

Il componente SOCKS5 opera in due modalità:

• ascolto diretto sul dispositivo compromesso;
• reverse relay verso l’infrastruttura dell’attaccante.

Le sessioni proxy sono indipendenti e possono essere aperte contemporaneamente. Un dispositivo infetto può così inoltrare traffico, nascondere l’origine di attività malevole, aggirare restrizioni geografiche o facilitare l’accesso a reti raggiungibili dal gateway.

Fortinet ritiene che una crescita significativa della botnet potrebbe sostenere servizi di proxy residenziali. In questo scenario, dispositivi aziendali o domestici compromessi diventerebbero parte di una rete monetizzabile per l’inoltro di traffico.

Il modulo DDoS supporta 16 tecniche di flood, tra cui UDP, DNS, SYN, ACK, GRE, TCP frammentato e HTTP. Le richieste HTTP possono essere personalizzate, consentendo di adattare l’attacco al bersaglio.

Il rischio per credenziali e reti interne

Evooo1Bot include un modulo di credential sniffing che monitora /proc/net/tcp. Il componente cerca di intercettare intestazioni HTTP Basic Authentication e cookie trasmessi dalle connessioni osservate.

Il rischio non riguarda quindi soltanto il consumo di banda o l’uso del dispositivo come relay. Le credenziali catturate possono permettere nuovi accessi a pannelli amministrativi, applicazioni interne o altri sistemi che utilizzano password riutilizzate.

Un gateway compromesso può inoltre diventare un punto di partenza per attività contro reti normalmente non esposte direttamente a Internet. La funzione reverse relay rende più semplice sfruttare il dispositivo come intermediario.

La fonte non assegna a Evooo1Bot un punteggio numerico di gravità. Il rischio operativo è comunque elevato: lo stesso apparato può essere usato contemporaneamente per brute force SSH, furto di credenziali, attacchi DDoS e occultamento del traffico.

La persistenza e il nuovo download del payload ogni cinque minuti complicano le bonifiche incomplete. Riavviare il dispositivo o terminare un singolo processo potrebbe non essere sufficiente.

Cosa devono fare gli amministratori

La prima misura consiste nell’aggiornare il firmware degli apparati coinvolti, quando il produttore fornisce ancora correzioni. Le versioni vulnerabili specifiche non sono state rese note, quindi gli amministratori dovrebbero verificare gli avvisi di sicurezza relativi al modello installato e non soltanto al marchio.

È inoltre necessario:

• sostituire le credenziali amministrative predefinite;
• usare password uniche e robuste;
• disabilitare i pannelli di gestione remota non indispensabili;
• limitare l’amministrazione a reti o indirizzi autorizzati;
• sostituire gli apparati non più supportati dal produttore.

Per l’analisi, occorre cercare processi o servizi inattesi, modifiche a systemd, SysV init, rc.local, profili della shell e crontab. Particolare attenzione merita un’attività di download ripetuta a intervalli di cinque minuti, oltre a connessioni cifrate anomale sulla porta 443.

Gli amministratori dovrebbero verificare anche:

• traffico SOCKS5 inatteso;
• connessioni SSH in uscita verso numerosi indirizzi;
• tentativi ripetuti di autenticazione;
• traffico DDoS generato dal gateway;
• accessi a file o configurazioni contenenti credenziali;
• cookie o intestazioni Basic Authentication potenzialmente esposti.

In caso di compromissione, il dispositivo dovrebbe essere isolato dalla rete, esaminato e ripristinato con firmware affidabile. Dopo la bonifica è prudente ruotare le credenziali amministrative e quelle eventualmente transitate attraverso il dispositivo.

Non è noto se Evooo1Bot sia inclusa nel catalogo KEV della CISA, né sono disponibili una data di inserimento o una scadenza per la mitigazione. Non sono inoltre indicati precedenti recenti dello stesso produttore nel catalogo.

Le credenziali valide restano un punto debole

Un dato di contesto proviene da The Blue Report 2026, basato su 338 milioni di simulazioni in ambienti produttivi dei clienti. Secondo il rapporto, quando un attaccante dispone di credenziali valide viene bloccato soltanto nel 37% delle azioni.

Il dato non misura direttamente Evooo1Bot, ma aiuta a leggere il rischio del suo modulo di sniffing e dello scanner SSH. La protezione del gateway non può fermarsi alla ricerca degli exploit: deve includere autenticazione forte, segmentazione della rete e monitoraggio degli accessi successivi alla compromissione iniziale.