Evooo1Bot koristi ranjive edge uređaje kao SOCKS5 proksije
Fortinet FortiGuard Labs je identifikovao Evooo1Bot, do sada nedokumentovanu Linux botnet porodicu aktivnu od jula 2026. године, koja kompromitovane rutere, zaštitne zidove, IP kamere i druge javno dostupne edge uređaje pretvara u SOCKS5 proksije. Malver preuzima osnovni DDoS mehanizam iz javno procurilog izvornog koda Mirai botneta, ali dodaje šifrovanu C2 komunikaciju, SSH skener za brute-force napade, SOCKS relej, presretanje kredencijala i skup eksploatacija poznatih propusta.
Poznate ranjivosti kao početna tačka
Evooo1Bot cilja više javno poznatih ranjivosti u opremi proizvođača Alcatel, NETGEAR, Tenda, Mitsubishi Electric, Telesquare i D-Link. Među navedenim propustima su CVE-2007-3010, CVE-2016-6277, CVE-2018-14558, CVE-2019-14931, CVE-2020-10987, CVE-2021-46422, CVE-2022-37055, CVE-2024-29269, CVE-2025-10123 i CVE-2025-55583.
Uspešna eksploatacija pokreće skriptu učitavača wget.sh, preuzetu sa spoljnog servera 91.92.40[.]118. Skripta zatim pribavlja binarni fajl prilagođen procesorskoj arhitekturi kompromitovanog uređaja i briše Bash istoriju, čime se otežava naknadna istraga.
Prikrivena kontrola i širok skup komandi
Pre uspostavljanja veze, binarni fajl proverava prisustvo alata za analizu, sandbox okruženja i virtuelnih mašina. Zatim komunicira sa komandno-kontrolnim serverom preko porta 443. Izbor tog porta omogućava da se saobraćaj uklopi u očekivani HTTPS promet na mrežnoj periferiji.
Nakon registracije uređaja, operater može da instalira mehanizme postojanosti, ažurira ili ugasi bot, prenosi fajlove i pokrene interaktivnu komandnu školjku. Malver takođe može da presreće HTTP Basic Authorization i Cookie zaglavlja, aktivira SSH brute-force skener i pokrene DDoS napade preko DNS, TCP i UDP saobraćaja.
HTTP modul za eksploataciju obuhvata osam dodatnih propusta koji pogađaju Hikvision, Atlassian Confluence, WSO2, Zyxel, TP-Link, PHP, D-Link i Kubernetes. Takva kombinacija širenja kroz poznate propuste i DDoS funkcija podseća na Mirai nasleđe i kompromitovani edge uređaji po oslanjanju na Mirai nasleđe i kompromitovane uređaje na mrežnoj periferiji.
Zašto je SOCKS5 funkcija posebno važna
SOCKS5 komponenta pretvara zaraženi uređaj u mrežni relej koji napadač može da koristi za naredne operacije i izbegavanje otkrivanja. Saobraćaj tada može izgledati kao da potiče sa IP adrese žrtve, što može poslužiti za prikrivanje zlonamernih aktivnosti, zaobilaženje geografskih ograničenja ili pristup internim mrežama kroz već kompromitovan sistem.
U većim botnetima ista mogućnost može izgraditi distribuiranu proksi infrastrukturu za anonimno prosleđivanje saobraćaja ili monetizaciju kroz rezidencijalne i poslovne proksi usluge. Organizacije treba da popišu javno izložene edge uređaje, primene dostupne zakrpe i nadziru neuobičajen odlazni saobraćaj, naročito veze preko porta 443, kako bi smanjile mogućnost da njihova infrastruktura postane relej napadača.