Пентест WEB: практический курс для начинающих
Специалисты компании Fortinet обнаружили новый Linux-ботнет Evooo1Bot, построенный на базе исходного кода Mirai. Малварь атакует доступные через интернет роутеры, файрволы, IP-камеры и другие пограничные устройства, превращая их в SOCKS5-прокси. Кроме того, вредонос способен похищать учетные данные, брутфорсить SSH и осуществлять DDoS-атаки.
По данным исследователей, Evooo1Bot активен как минимум с июля 2026 года. Для первоначального заражения ботнет эксплуатирует известные уязвимости в устройствах Alcatel, Netgear, Tenda, Mitsubishi Electric, Telesquare и D-Link. Среди них баги CVE-2007-3010, CVE-2016-6277, CVE-2018-14558, CVE-2019-14931, CVE-2020-10987, CVE-2021-46422, CVE-2022-37055, CVE-2024-29269, CVE-2025-10123 и CVE-2025-55583.
После успешной эксплуатации какого-либо бага на устройство загружается скрипт wget.sh, который определяет архитектуру процессора и скачивает подходящий вариант Evooo1Bot (в общей сложности исследователи обнаружили 12 билдов малвари). После этого скрипт очищает историю Bash, чтобы скрыть следы атаки.
Перед запуском малварь проверяет систему на наличие отладчиков, средств защиты, песочниц, виртуальных машин, контейнеров и ханипотов. Если все «чисто», Evooo1Bot устанавливает зашифрованное соединение с управляющим сервером через порт 443, маскируя свой трафик под обычный HTTPS.
Для закрепления в системе малварь использует systemd, SysV init, shell-профили и rc.local. Дополнительно создается cron-задача, которая каждые пять минут пытается повторно скачать пейлоад. Кроме того, операторы ботнета могут открыть интерактивный шелл на зараженном хосте, что позволит им загружать и скачивать файлы, а также обновлять сам вредонос.
По словам специалистов, один из основных компонентов Evooo1Bot превращает зараженные устройства в SOCKS5-прокси. Модуль SOCKS5 может работать в двух режимах: принимать подключения напрямую или устанавливать обратное соединение с инфраструктурой атакующих. Причем одновременно на зараженном устройстве могут работать несколько независимых прокси-сессий.
В результате инфраструктура ботнета может использоваться для сокрытия вредоносного трафика, обхода географических ограничений, доступа во внутренние сети через уже скомпрометированные устройства или монетизации посредством резидентных и корпоративных прокси-сервисов.
Также отдельный модуль Evooo1Bot отслеживает /proc/net/tcp и пытается перехватывать заголовки Authorization с данными Basic-аутентификации, а также заголовки cookie. Еще один компонент отвечает за брутфорс SSH и перебирает 150 комбинаций имен пользователей и паролей, а в случае успешного входа выполняет дополнительные проверки, чтобы не попасть в ханипот.
Отмечается, что свежие сборки Evooo1Bot также оснащаются отдельным модулем, предназначенным для эксплуатации уязвимостей. Он атакует камеры Hikvision (CVE-2021-36260), Atlassian Confluence (CVE-2022-26134), продукты WSO2 (CVE-2022-29464), файрволы Zyxel (CVE-2022-30525), роутеры TP-Link (CVE-2023-1389), NAS D-Link (CVE-2024-10914), а также уязвимые установки PHP-CGI (CVE-2024-4577) и Kubernetes (CVE-2025-1974). Впрочем, исследователи отмечают, что часть встроенных эксплоитов реализована с ошибками и не работает.
Наконец, от Mirai Evooo1Bot унаследовал DDoS-модуль, который поддерживает 16 вариантов флуда (включая UDP, DNS, SYN, ACK, GRE), атаки с применением фрагментированных TCP-пакетов, а также HTTP-флуд с настраиваемыми запросами.
