Fortinet FortiGuard Labs ha identificato e documentato Evooo1Bot, una nuova famiglia di botnet Linux modulare attiva dal luglio 2026 che estende significativamente le capacità dei tradizionali derivati di Mirai. Il 13 agosto 2026 la ricercatrice Yi Ping (Cara) Lin ha pubblicato l'analisi tecnica completa: il malware non si limita al DDoS, ma trasforma le vittime in proxy SOCKS5 dual-mode con comunicazioni C2 crittografate. La posta in gioco è il cambiamento di paradigma nel crimine informatico IoT, dove l'obsolescenza tecnologica diventa infrastruttura di anonimizzazione a basso costo.
- Evooo1Bot è una botnet Linux modulare basata sul codice sorgente trafugato di Mirai, con stringa hardcoded "evooo1" in ogni binario, scoperta da Fortinet FortiGuard Labs.
- Sfrutta 10 vulnerabilità note con CVSS fino a 9.8 in dispositivi edge di vendor come Alcatel, NETGEAR, Tenda, Mitsubishi/INEA, Telesquare e D-Link, con CVE che spaziano dal 2007 al 2025.
- Il modulo SOCKS5 opera in modalità direct (listener su porta 1080) e reverse relay (connessione outbound a server relay), trasformando i dispositivi compromessi in proxy persistenti.
- Meccanismi di anti-analisi enterprise-grade: verifica di 40+ tool di analisi, 17+ processi debugger, 11 servizi sandbox e 13 fingerprint VM/container.
Arsenale exploit: quando l'obsolescenza diventa vettore
La campagna di exploit principale di Evooo1Bot sfrutta 10 vulnerabilità documentate in dispositivi edge internet-facing. Secondo NVD, CVE-2007-3010 nella centrale telefonica Alcatel OmniPCX ha un punteggio CVSS 9.8 CRITICAL, così come CVE-2018-14558 (command injection Tenda), CVE-2019-14931 (command injection Mitsubishi/INEA RTU) e CVE-2020-10987 (RCE Tenda AC15). CVE-2016-6277 nel firmware NETGEAR registra CVSS 8.8 HIGH. A queste si aggiungono CVE-2021-46422 (Telesquare), CVE-2022-37055 (D-Link), CVE-2024-29269 (Telesquare), CVE-2025-10123 (D-Link) e CVE-2025-55583 (D-Link).
Tutti i callback di exploit convergono sullo stesso loader URL: 91.92.40[.]118/wget.sh. Il loader scarica 12 varianti binarie per altrettante architetture CPU, usando wget, busybox wget, curl o tftp a seconda della disponibilità sul dispositivo compromesso. Questa architettura multi-piattaforma consente al botnet di colonizzare indifferentemente router consumer, firewall entry-level, IP camera e RTU industriali.
L'ampio arco temporale delle vulnerabilità — dal 2007 al 2025 — indica che gli operatori non puntano su zero-day costosi, ma sull'accumulo di dispositivi mai patchati. La telemetria geografica riportata da The Record mostra attività in Nord America, Sud America, Europa, India, Cina e Giappone, confermando la diffusione globale.
Il modulo SOCKS5: dal DDoS all'infrastruttura proxy
Evooo1Bot riutilizza il motore DDoS di Mirai con 16 metodi di attacco, ma l'elemento tecnicamente più rilevante è il modulo SOCKS5. Yi Ping (Cara) Lin lo definisce "arguably the most operationally significant": il malware installa un proxy SOCKS5 che supporta due modalità operative.
In modalità direct, il modulo apre un listener sulla porta 1080 in ascolto su IPv4 e IPv6. In modalità reverse relay, stabilisce invece una connessione outbound verso un server relay dedicato, usando i comandi RELAY_NEW e RELAY_DATA per incapsulare il traffico. Questa dualità permette sia l'uso operativo diretto da parte degli operatori, sia la costruzione di reti proxy distribuite su larga scala.
Le comunicazioni con il server di comando e controllo avvengono sulla porta 443 con traffico crittografato, mimetizzandosi nel flusso HTTPS standard. L'obfuscation utilizza AES-256-CTR, ChaCha20 e una key derivation basata su XOR. L'interfaccia di amministrazione remota gestisce 28 comandi, tra cui !persist, !reinstall, !upload, !detach, !socks, !stopsocks, !cve e !stopcve.
"These capabilities place Evooo1Bot well beyond the technical baseline of conventional Mirai-derived malware" — Yi Ping (Cara) Lin, Fortinet FortiGuard Labs
Fortinet FortiGuard Labs ha esplicitamente dichiarato: "This capability significantly increases the value of an infected host to attackers. The victim's IP address can be used to disguise malicious traffic, bypass geographic restrictions, or provide access to internal networks through an already compromised machine." E ancora: "In larger botnets, the same functionality could also be used to build a distributed proxy infrastructure, enabling anonymous traffic forwarding or monetization through residential and enterprise proxy services."
Persistenza e anti-analisi: il livello enterprise che mancava ai botnet IoT
Evooo1Bot implementa cinque meccanismi di persistenza sui sistemi Linux compromessi: una systemd unit denominata "Apache HTTPD Cache Manager", un init script SysV, un job cron che si attiva ogni cinque minuti, uno script in /etc/profile.d e una voce in rc.local. Il malware modifica anche /proc/self/oom_score_adj per resistere ai tentativi di terminazione da parte del kernel e interagisce con /dev/watchdog.
L'anti-analisi rappresenta un altro salto di qualità rispetto ai derivati Mirai convenzionali. Il binario verifica la presenza di oltre 40 file associati a tool di analisi, controlla 17+ processi debugger, rileva 11 servizi sandbox e calcola 13 fingerprint specifici di ambienti virtualizzati o containerizzati. Questo livello di sofisticazione indica che gli operatori hanno investito risorse considerevoli nella protezione del proprio arsenale.
Il modulo di scanner SSH integra un dizionario di oltre 150 credenziali e implementa un honeypot detection a due stadi, che riduce il rischio di esposizione in ambienti di ricerca. Il modulo CVE aggiuntivo espande la superficie di attacco con 8 vulnerabilità ulteriori in prodotti Hikvision, Atlassian Confluence, WSO2, Zyxel, TP-Link, PHP, D-Link NAS e Kubernetes, anche se la completezza funzionale di questo modulo secondario non è interamente verificata nelle fonti disponibili.
Cosa fare adesso
La natura proxy di Evooo1Bot richiede un ripensamento delle difese perimetrali tradizionali. Le azioni prioritarie derivano direttamente dall'analisi tecnica di Fortinet:
- Verificare e applicare le patch per le 10 CVE della campagna principale, con particolare attenzione ai dispositivi edge con firmware mai aggiornato, inclusi RTU industriali e centrali telefoniche obsolete.
- Monitorare il traffico in uscita sulla porta 443 con analisi del fingerprint TLS: le comunicazioni C2 di Evooo1Bot usano crittografia ma non riproducono esattamente il comportamento di client HTTPS legittimi.
- Ispezionare le unità systemd, i cron job e i file rc.local alla ricerca di voci anomale, inclusa la falsa unità "Apache HTTPD Cache Manager" che non corrisponde a processi Apache autentici.
- Bloccare a livello di firewall e proxy l'URL del loader 91.92.40[.]118/wget.sh e le relative varianti di download, notificando l'indicatore alle piattaforme di threat intelligence di settore.
Il proxy come commodities: una minaccia strutturale
Evooo1Bot non è un episodio isolato, ma l'indicatore di una maturazione dell'ecosistema Mirai verso minacce persistenti avanzate. L'integrazione di proxy SOCKS5, anti-analisi enterprise-grade e persistenza multipla su dispositivi tradizionalmente considerati "semplici" sfida l'assunto che gli attacchi sofisticati rimangano confinati a endpoint aziendali. La commoditizzazione dell'infrastruttura proxy abbassa la soglia di accesso all'anonimizzazione distribuita, con potenziali ricadute su frodi pubblicitarie, abuso di servizi e attacchi APT mascherati.
L'identità degli operatori non è stata determinata dalle fonti disponibili. Non emergono sovrapposizioni infrastrutturali con altri botnet Mirai recenti come Aisuru o KimWolf allo stato attuale. Il numero esatto di dispositivi compromessi non è quantificabile sulla base dei dati pubblici, così come non è documentata l'esistenza effettiva di marketplace che monetizzino già i proxy generati da Evooo1Bot.
Fonti
- https://www.infosecurity-magazine.com/news/new-linux-botnet-evooo1bot-victims/
- https://thehackernews.com/2026/08/evooo1bot-linux-botnet-exploits-known.html
- https://www.techdebrief.co/cybersecurity/new-linux-botnet-exploits-10-flaws-in-routers-enterprise-dev--6c2a9f28-0f33-4076-8e21-8119793ad290
- https://www.fortinet.com/blog/threat-research/multi-functional-linux-botnet-evooo1bot
- https://www.techzine.eu/news/security/143630/new-linux-botnet-turns-routers-into-proxy-servers/
- https://therecord.media/new-mirai-variant-adds-stealth-to-botnet-code
- https://nvd.nist.gov/vuln/detail/CVE-2007-3010
- https://nvd.nist.gov/vuln/detail/cve-2016-6277
- https://nvd.nist.gov/vuln/detail/cve-2018-14558
- https://nvd.nist.gov/vuln/detail/CVE-2019-14931
- https://nvd.nist.gov/vuln/detail/cve-2020-10987
Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.