Evooo1Bot, una nuova botnet modulare basata su Mirai, prende di mira router e dispositivi gateway esposti su Internet, sfruttando vulnerabilità note per trasformarli in nodi relay SOCKS5, rubare credenziali, forzare SSH e lanciare attacchi DDoS.
Una nuova minaccia informatica sta colpendo i dispositivi gateway Linux esposti su Internet: si tratta di Evooo1Bot, una botnet modulare che sfrutta il codice di Mirai per prendere il controllo di router e dispositivi di rete, trasformandoli in nodi proxy SOCKS5. Oltre a fungere da relay di traffico, Evooo1Bot è in grado di rubare credenziali, effettuare attacchi brute-force su SSH e lanciare attacchi DDoS.
Dalla scorsa estate, i ricercatori di Fortinet hanno osservato attacchi contro dispositivi di marchi come Alcatel, NETGEAR, Tenda, Mitsubishi Electric, Telesquare e D-Link, distribuiti in diverse regioni. Gli attaccanti sfruttano vulnerabilità note per ottenere l'accesso e installare una delle 12 varianti del malware, selezionata in base all'architettura della CPU del dispositivo compromesso. Dopo l'infezione, Evooo1Bot cancella la cronologia Bash per nascondere le tracce dell'attacco.
Funzionalità avanzate e tecniche di persistenza
Rispetto al Mirai originale, Evooo1Bot introduce numerose funzionalità aggiuntive: comunicazioni C2 cifrate su porta 443, scanner SSH con 150 combinazioni di credenziali orientate all'ambito enterprise, modulo relay SOCKS5 in modalità diretta e reverse, sniffer di credenziali che monitora '/proc/net/tcp' per intercettare autenticazioni HTTP Basic e Cookie, e un arsenale di exploit per vulnerabilità note. Le versioni più recenti includono moduli specifici per attaccare dispositivi Hikvision, Atlassian Confluence, firewall Zyxel, router TP-Link, NAS D-Link, prodotti WSO2, ingress-nginx Kubernetes e installazioni PHP-CGI vulnerabili. Tuttavia, Fortinet segnala che alcune delle exploit integrate non sono implementate correttamente e spesso falliscono.
Per garantire la persistenza, Evooo1Bot si integra con systemd, SysV init, profili shell e rc.local, mentre un cron job tenta di riscaricare il payload ogni cinque minuti. Prima di attivarsi, il malware esegue controlli approfonditi per rilevare debugger, strumenti di sicurezza, sandbox, macchine virtuali, container e honeypot, riducendo il rischio di essere analizzato.
Controllo remoto e monetizzazione tramite proxy
Gli operatori della botnet possono accedere a una shell interattiva sui dispositivi compromessi, trasferire file e gestire sessioni proxy in modo indipendente, anche simultaneamente. Questo consente di monetizzare la botnet offrendo servizi di proxy residenziale, qualora la rete infetta raggiungesse dimensioni significative. Il modulo DDoS, ereditato da Mirai, supporta 16 metodi di attacco, tra cui UDP, DNS, SYN, ACK, GRE, TCP frammentato e flood HTTP personalizzabile.
La crescente sofisticazione delle botnet che sfruttano dispositivi IoT e router domestici ricorda quanto sia fondamentale mantenere aggiornato il firmware, cambiare le credenziali di default, disattivare i pannelli di accesso remoto e sostituire i dispositivi non più supportati dai produttori. Fenomeni simili sono già stati osservati anche su dispositivi mobili, come dimostrato dall'attacco combinato WindRelay e SpyNote che ha colpito Android, descritto in dettaglio nell'analisi di un recente caso di furto dati e frodi tramite malware NFC.
