Evooo1Bot, la nuova variante di Mirai che trasforma i router in proxy per gli attaccanti

Una botnet Linux sfrutta dispositivi esposti a Internet

Evooo1Bot è una nuova variante Linux derivata dal codice della botnet Mirai. FortiGuard Labs ne ha segnalato l’attività il 13 agosto 2026, descrivendola come una minaccia apparentemente non documentata in precedenza.

La botnet sfrutta vulnerabilità non corrette presenti in router e altri dispositivi hardware accessibili direttamente da Internet. L’attività risulta in corso da almeno un mese, ma non è noto quanti apparati siano stati compromessi a livello globale.

La telemetria dei ricercatori mostra connessioni o tentativi di infezione in Nord America, Sud America, Europa, India, Cina e Giappone. La distribuzione geografica indica una campagna ampia, anche se non consente di determinare da sola il numero delle vittime.

Sono coinvolti dispositivi prodotti da:

• Alcatel;
• D-Link;
• Mitsubishi Electric;
• Netgear;
• Tenda;
• Telesquare.

Le versioni esatte dei prodotti interessati non sono state rese note. Non sono stati indicati neppure identificativi CVE o un punteggio CVSS specifico per l’attività di Evooo1Bot.

Dal DDoS al controllo operativo dell’apparato

Come molte varianti di Mirai, Evooo1Bot può usare i dispositivi infetti per condurre attacchi DDoS. Il malware, tuttavia, aggiunge funzioni che ampliano sensibilmente il valore dell’apparato compromesso per chi lo controlla.

Le comunicazioni con l’infrastruttura di command and control, o C2, sono cifrate. Questo rende più difficile individuare gli scambi analizzando il contenuto del traffico e può complicare l’attività degli strumenti di monitoraggio privi di adeguate capacità di ispezione.

Il malware include inoltre uno scanner focalizzato sui servizi o sul codice SSH. La funzione può servire a individuare altri obiettivi accessibili attraverso quel protocollo, aumentando le possibilità di propagazione o di accesso a sistemi ulteriori.

Evooo1Bot tenta anche di riconoscere gli honeypot, cioè i sistemi predisposti per attirare e osservare gli aggressori. L’elusione di questi ambienti consente alla botnet di ridurre il rischio che i suoi comportamenti vengano analizzati in modo controllato.

Un altro componente cerca credenziali predefinite ancora presenti sui dispositivi. Router, telecamere IP, firewall e apparati periferici installati senza modificare la password iniziale possono quindi offrire un ulteriore punto d’ingresso.

La combinazione di cifratura, scansione SSH, riconoscimento degli honeypot e ricerca delle credenziali di default distingue Evooo1Bot dalle varianti Mirai più semplici. Non si tratta soltanto di una rete usata per lanciare traffico malevolo: il malware mira a mantenere un controllo più discreto e duraturo degli apparati.

La funzione SOCKS è il rischio più rilevante

L’elemento operativo più significativo è il supporto al protocollo SOCKS. Un dispositivo compromesso può essere configurato come proxy e inoltrare le connessioni degli attaccanti verso altri server.

In pratica, il traffico non parte direttamente dall’infrastruttura controllata dall’aggressore. Passa invece attraverso il router, il firewall, la telecamera o un altro apparato della vittima. Per i sistemi destinatari, l’origine apparente della connessione può quindi coincidere con l’indirizzo dell’organizzazione compromessa.

Questa capacità offre diversi vantaggi all’attaccante. Il dispositivo può essere usato per nascondere l’origine reale delle attività, raggiungere servizi che accettano connessioni dall’apparato periferico oppure creare un punto di passaggio verso reti interne.

Un router o un firewall collocato al confine della rete può avere visibilità e accesso a risorse che non sono esposte pubblicamente. Se l’apparato viene trasformato in proxy persistente, può diventare uno strumento per condurre ricognizione, trasferire traffico e preparare operazioni successive.

Non è noto se ogni infezione venga sfruttata per attività di movimento laterale o accesso interno. La presenza della funzione, però, aumenta l’impatto potenziale rispetto a una compromissione limitata al DDoS.

Perché gli apparati edge sono un obiettivo

I dispositivi presi di mira hanno spesso tre caratteristiche favorevoli alla propagazione di una botnet: sono connessi continuamente, svolgono funzioni essenziali e possono rimanere esposti per periodi prolungati.

Un apparato Internet-facing vulnerabile può essere raggiunto senza compromettere prima un computer interno. Se conserva inoltre credenziali predefinite, l’attaccante può disporre di una seconda tecnica d’accesso anche dopo l’applicazione di una correzione parziale.

La compromissione può essere difficile da riconoscere. Un router o una telecamera continua normalmente a svolgere la propria funzione, mentre in parallelo esegue scansioni, mantiene comunicazioni cifrate con il C2 o inoltra connessioni SOCKS.

I segnali da cercare includono traffico SSH inatteso, connessioni cifrate verso destinazioni insolite e flussi proxy originati da dispositivi che non dovrebbero offrire servizi SOCKS. Anche cambiamenti anomali nella configurazione DNS, nelle regole firewall o nei processi attivi meritano una verifica.

L’assenza di un rallentamento evidente non esclude l’infezione. Le funzioni di proxying e occultamento possono essere utilizzate senza produrre immediatamente un attacco DDoS visibile.

Il riuso di Mirai continua a produrre nuove minacce

Il codice sorgente di Mirai è stato pubblicato nel 2016. Da allora è stato riutilizzato per creare numerose varianti, adattate a nuovi dispositivi, credenziali e vulnerabilità.

Evooo1Bot si inserisce in questa storia, ma con un profilo più orientato alla persistenza e all’impiego dell’infrastruttura compromessa. Tra i discendenti citati figurano Aisuru e KimWolf.

Contro queste due minacce hanno operato a marzo agenzie degli Stati Uniti, del Canada e della Germania. A maggio, un uomo canadese è stato incriminato con l’accusa di gestire KimWolf.

Questi precedenti mostrano che le botnet derivate da Mirai non sono soltanto campagne automatiche di breve durata. Possono sostenere infrastrutture organizzate, attirare l’attenzione delle autorità e diventare strumenti per servizi di proxy, attacchi distribuiti e attività di accesso non autorizzato.

Non è noto se Evooo1Bot sia collegata direttamente ad Aisuru, KimWolf o ad altri gruppi già osservati.

Cosa devono fare gli amministratori

La prima misura consiste nell’applicare gli aggiornamenti disponibili forniti dai produttori degli apparati coinvolti. Poiché le versioni esatte interessate non sono state rese note, gli amministratori dovrebbero verificare tutti i modelli Alcatel, D-Link, Mitsubishi Electric, Netgear, Tenda e Telesquare presenti nell’inventario.

È necessario anche sostituire immediatamente le credenziali predefinite, usando password uniche e robuste. La ricerca attiva di account e password iniziali rende rischioso lasciare invariata la configurazione di fabbrica.

I servizi di amministrazione non indispensabili dovrebbero essere rimossi dall’esposizione diretta a Internet. Quando possibile, l’accesso va limitato tramite VPN, liste di autorizzazione, segmentazione della rete e regole firewall specifiche.

I team di sicurezza dovrebbero monitorare:

• tentativi di connessione SSH verso destinazioni non abituali;
• traffico C2 cifrato proveniente da apparati periferici;
• connessioni SOCKS o comportamenti da proxy non autorizzati;
• scansioni originate da router, firewall e telecamere;
• modifiche inattese a DNS, firewall e configurazioni di sistema.

Un dispositivo sospetto va isolato dalla rete e analizzato secondo le procedure aziendali. Il semplice riavvio potrebbe non essere sufficiente a escludere una nuova compromissione, soprattutto se il problema iniziale — vulnerabilità esposta o credenziali invariate — resta presente.

Non è noto se Evooo1Bot sia stata inserita nel catalogo KEV della CISA. Di conseguenza, non risultano una data di inserimento o una scadenza specifica imposta alle agenzie federali per la correzione. La minaccia resta comunque concreta per qualsiasi organizzazione che mantenga apparati vulnerabili e direttamente raggiungibili da Internet.