Pesquisadores de segurança da informação da empresa Fortinet, por meio da divisão FortiGuard Labs, identificaram uma nova família de malwares voltada a sistemas Linux, denominada Evooo1Bot.
As análises técnicas apontam que o código-fonte da ameaça é derivado da estrutura da infame botnet Mirai, cujos arquivos originais foram vazados publicamente anos atrás.
A nomenclatura da praga digital foi estabelecida após a constatação de que a string “evooo1” está codificada de forma fixa nos binários analisados pelo laboratório.
A telemetria coletada pelas equipes de monitoramento revelou que a infraestrutura de comando e controle (C2) da Evooo1Bot iniciou operações ativas na internet em meados de julho de 2026.
O objetivo primário do malware envolve o comprometimento de equipamentos situados na borda da rede, como roteadores, firewalls e gateways de comunicação. Certamente, o aproveitamento do motor de ataques de negação de serviço distribuído (DDoS) herdado da Mirai fornece uma base sólida para a expansão rápida da rede infectada.
No entanto, os desenvolvedores da nova ameaça inseriram aprimoramentos técnicos significativos que extrapolam as funções básicas de seu predecessor.
Além de desferir ataques volumétricos, a Evooo1Bot foi projetada para converter aparelhos vulneráveis em nós de retransmissão de tráfego, ampliando de maneira considerável o leque de operações ofensivas executáveis pelos cibercriminosos.
Mecanismos de exploração e arquitetura modular
A estratégia de infecção primária da Evooo1Bot fundamenta-se na exploração sistemática de vulnerabilidades conhecidas que afetam dispositivos expostos diretamente à internet. A análise de tráfego interceptado permitiu mapear uma grande diversidade de alvos e vetores de comprometimento empregados na distribuição do código malicioso.
A lista de brechas ativamente exploradas no processo de infecção inclui falhas graves identificadas nos seguintes equipamentos e sistemas:
- CVE-2007-3010: Execução remota de código no sistema Alcatel OmniPCX Enterprise.
- CVE-2016-6277: Falha de execução remota de código em múltiplos modelos de roteadores NETGEAR.
- CVE-2018-14558 e CVE-2020-10987: Vulnerabilidades de injeção de comandos e RCE em roteadores Tenda AC7, AC9, AC10 e AC15.
- CVE-2019-14931: Injeção remota de comandos em dispositivos ME-RTU da Mitsubishi Electric e INEA.
- CVE-2021-46422 e CVE-2024-29269: Injeção de comandos em roteadores e gateways da marca Telesquare.
- CVE-2022-37055, CVE-2025-10123 e CVE-2025-55583: Transbordamento de buffer e injeção de comandos em equipamentos D-Link.
Adicionalmente, os especialistas observaram módulos de exploração direcionados a câmeras da Hikvision, firewalls da Zyxel, roteadores TP-Link e aplicações corporativas como Atlassian Confluence, soluções WSO2 e ambientes Kubernetes ingress-nginx.
Após o sucesso da invasão inicial, um script automatizado realiza o download do payload correspondente à arquitetura de processador do dispositivo vítima, cobrindo ao menos doze variações distintas de compilação.
Funcionalidades de proxy SOCKS5 e ocultação de tráfego
O recurso técnico de maior impacto operacional incorporado ao Evooo1Bot reside na inclusão de um módulo de servidor proxy SOCKS5. Essa capacidade permite que a infraestrutura maliciosa utilize o dispositivo invadido como uma ponte para redirecionar tráfego de terceiros na rede.
Ao transformar um roteador de borda em um proxy retransmissor, os operadores do malware conseguem realizar atividades ilícitas utilizando o endereço de IP legítimo da vítima.
Porém, essa técnica dificulta o rastreamento da origem real dos ataques por parte de órgãos de fiscalização e sistemas de inteligência cibernética. O dispositivo passa a servir como escudo para movimentações laterais, invasões adicionais e exfiltração de dados confidenciais.
A arquitetura da ameaça abrange também um interceptador de credenciais (credential sniffer) e um scanner automatizado para ataques de força bruta contra serviços SSH.
O sistema de varredura varre blocos de endereços em busca de serviços ativos, aplicando filtros rigorosos para evitar sistemas do tipo honeypot configurados para atrair e analisar artefatos maliciosos.
Técnicas de evasão e persistência operacional
Para assegurar a continuidade do comprometimento e dificultar a análise por pesquisadores de segurança, os criadores da Evooo1Bot implementaram defesas ativas dentro da rotina do código. Antes de iniciar a execução completa dos módulos de ataque, o malware realiza uma série de verificações no ambiente operacional.
Os mecanismos de autoproteção verificam a presença dos seguintes elementos no sistema hospedeiro:
- Máquinas virtuais, contêineres e ambientes do tipo sandbox.
- Ferramentas de depuração de código e softwares de análise comportamental.
- Ambientes de simulação e armadilhas de segurança corporativa (honeypots).
Caso algum desses componentes seja detectado, a rotina de execução é interrompida imediatamente. Quando a execução ocorre em um ambiente considerado seguro pelos invasores, a Evooo1Bot elimina os registros de histórico do terminal de comandos Bash, reduzindo significativamente os vestígios deixados durante o processo de invasão.
A comunicação com os servidores de comando e controle ocorre de maneira criptografada utilizando a porta 443, mesclando o tráfego de gestão do botnet a fluxos de navegação web convencionais.
Registros de telemetria da Fortinet demonstraram a presença de dispositivos infectados espalhados por regiões da América do Norte, América do Sul, Europa, Índia, China e Japão.
A evolução das ameaças baseadas no código Mirai
A emergência do Evooo1Bot evidencia uma tendência contínua na evolução de softwares maliciosos voltados para a Internet das Coisas (IoT) e dispositivos de rede.
Mesmo após uma década do surgimento do código-fonte original da Mirai, grupos de cibercriminosos continuam reutilizando sua base conceitual para construir plataformas modulares cada vez mais sofisticadas.
Certamente, a transição de botnets focadas exclusivamente em negação de serviço para ecossistemas multiuso capazes de atuar como serviços de proxy e coletores de credenciais representa um desafio adicional para a gestão de segurança da informação.
A reutilização de vulnerabilidades conhecidas reforça a necessidade de auditorias contínuas e da aplicação tempestiva de correções de firmware por parte de administradores de infraestrutura em todo o mundo.
