Fortinet revela Evooo1Bot, botnet Linux não documentado baseado em Mirai

O Evooo1Bot é um botnet Linux não documentado, baseado no Mirai, que estende o framework original com capacidades como C2 criptografado, scanner brute-force SSH, módulo SOCKS5 e coleta de credenciais.

Isso importa porque combina código amplamente conhecido com novas técnicas, tornando a ameaça mais perigosa e difícil de detectar.

O botnet está ativo desde julho de 2026, explorando vulnerabilidades conhecidas em dispositivos acessíveis pela internet para distribuir o malware.

Isso indica que a ameaça já existe há vários meses, exigindo que administradores apliquem patches urgentemente.

O nome Evooo1Bot deriva da string hardcoded 'evooo1' encontrada em todos os binários do malware.

Esse detalhe técnico ajuda pesquisadores a identificar e rastrear variantes da família.

O bot se comunica exclusivamente pela porta 443, misturando o tráfego com conexões HTTPS esperadas para dificultar a detecção.

A escolha da porta 443 é intencional para ocultar o controle do botnet em meio ao tráfego legítimo, complicando a ação de firewalls e sistemas de detecção.

O botnet Evooo1Bot explora 18 CVEs conhecidas, algumas de 2007, para comprometer dispositivos acessíveis pela internet.

A quantidade e a idade das vulnerabilidades mostram que o botnet age de forma oportunista, mirando sistemas não corrigidos, o que amplia o risco para redes legadas.

Após obter acesso inicial, o bot executa um script que limpa o histórico do Bash para apagar evidências antes de baixar o binário do malware.

Esse comportamento dificulta a análise forense e a detecção pós-comprometimento, aumentando a persistência do ataque.

O botnet Evooo1Bot foi divulgado pela Fortinet FortiGuard Labs em meados de agosto de 2026, após monitoramento desde julho do mesmo ano.

A data da divulgação situa o evento no contexto recente de segurança, permitindo que organizações atualizem defesas rapidamente.

O Evooo1Bot é um botnet Linux não documentado que deriva do código-fonte do Mirai e transforma dispositivos acessíveis pela internet em proxies SOCKS5.

Destaca o caráter inédito do malware e sua base no código do Mirai, ampliando as capacidades originais.

O botnet está ativo desde julho de 2026, explorando vulnerabilidades conhecidas em dispositivos públicos para distribuir o malware.

Indica a operação atual do malware e seu método de propagação via falhas conhecidas.

O malware estende o framework Mirai com capacidades como C2 criptografado, scanner brute-force SSH, módulo SOCKS5, coletor de credenciais e arsenal de exploits para múltiplas vulnerabilidades.

Essas adições ao código original do Mirai aumentam a sofisticação e a dificuldade de detecção.

O botnet explora 18 CVEs conhecidas, algumas datando de 2007, para comprometer dispositivos.

A ampla gama de CVEs indica um alvo oportunista e uma ameaça severa para sistemas não atualizados.