Evooo1Bot: botnet Linux ataca roteadores com 18 CVEs
O FortiGuard Labs, da Fortinet, identificou o Evooo1Bot, um botnet Linux baseado no código vazado do Mirai que está ativo desde julho de 2026 e já mira roteadores, câmeras IP e outros dispositivos IoT através de 18 CVEs conhecidas, algumas com mais de dez anos. O nome vem da string “evooo1” embutida em todos os binários analisados.
Como o Evooo1Bot funciona
O botnet reaproveita o motor de DDoS do Mirai original, mas adiciona uma camada de recursos que o coloca acima da média das variantes do gênero: comunicação C2 criptografada com AES-256-CTR, ChaCha20 e derivação de chave por XOR, scanner de força bruta SSH, sniffer de credenciais e um módulo de proxy SOCKS5.
Todo o tráfego de comando e controle passa pela porta 443, escolha deliberada para se misturar ao tráfego HTTPS legítimo na borda da rede. Depois de obter acesso — seja por um dos módulos de exploração ou por SSH com credenciais fracas — o loader limpa o histórico do Bash antes de baixar o binário correto para a arquitetura do dispositivo.
18 CVEs, algumas de 2007
A lista de vulnerabilidades exploradas mistura falhas recentes com brechas antigas que continuam presentes em equipamentos nunca atualizados:
- CVE-2007-3010 — Alcatel OmniPCX Enterprise
- CVE-2016-6277 — roteadores NETGEAR
- CVE-2018-14558 — Tenda AC7, AC9 e AC10
- CVE-2020-10987 — Tenda AC1900 AC15
- CVE-2022-37055 — roteadores D-Link
- CVE-2025-10123 e CVE-2025-55583 — D-Link DIR-823X e DIR-868L
A amplitude da lista sugere varredura oportunista: os operadores não miram uma organização específica, e sim qualquer dispositivo desatualizado ao alcance.
O módulo SOCKS5: o diferencial que preocupa
O recurso que separa o Evooo1Bot de um Mirai genérico é o módulo !socks, que transforma o host infectado em um relay SOCKS5. Ele funciona em dois modos: um listener direto na porta TCP 1080 (com fallback de IPv6 para IPv4) ou um modo reverso, em que o dispositivo comprometido abre uma conexão de saída criptografada para um servidor de relay controlado pelo operador.
Uma rede de roteadores, câmeras e firewalls comprometidos funcionando como proxies residenciais tem valor comercial: pode ocultar tráfego de outros ataques ou ser revendida a terceiros que precisam de IPs que não disparam bloqueios geográficos. O botnet também intercepta cabeçalhos de autenticação HTTP Basic Auth e cookies que passam pelo dispositivo infectado.
Como se proteger
- Atualize o firmware de roteadores, câmeras IP e outros dispositivos de borda — a lista de CVEs exploradas cobre modelos D-Link, Tenda, NETGEAR e Telesquare, entre outros.
- Troque credenciais padrão de SSH e desative o acesso remoto por senha sempre que possível, priorizando autenticação por chave.
- Bloqueie ou monitore tráfego de saída incomum na porta 443 originado por dispositivos IoT, que normalmente não deveriam iniciar conexões HTTPS por conta própria.
- Segmente câmeras, roteadores e outros dispositivos IoT em uma VLAN isolada da rede corporativa.
Perguntas frequentes
O Evooo1Bot afeta servidores Linux corporativos?
O foco documentado pela Fortinet é em dispositivos de borda — roteadores, câmeras IP e IoT —, não em servidores Linux tradicionais. O risco para servidores vem principalmente de credenciais SSH fracas.
Quais fabricantes de roteadores estão na lista de CVEs exploradas?
D-Link, Tenda, NETGEAR, Telesquare e Mitsubishi Electric Europe aparecem entre os fabricantes com CVEs incluídas no arsenal do botnet.
Como saber se um dispositivo foi comprometido?
Sinais incluem conexões de saída persistentes na porta 443 sem motivo aparente, histórico de Bash apagado e lentidão ou uso incomum de CPU no dispositivo de borda.
O botnet usa alguma vulnerabilidade zero-day?
Não. Todas as 18 CVEs listadas pela Fortinet já são conhecidas e têm correção disponível — o problema é a quantidade de dispositivos que nunca recebem atualização de firmware.
Desde quando o Evooo1Bot está ativo?
A Fortinet rastreia atividade do botnet desde julho de 2026; a divulgação pública ocorreu em meados de agosto de 2026.
Conclusão
O Evooo1Bot não depende de nenhuma falha inédita — depende de dispositivos de borda que nunca são atualizados. Para quem administra rede, o botnet é outro lembrete de que roteadores, câmeras e outros equipamentos IoT precisam entrar no mesmo ciclo de patch que servidores e estações, e que credenciais padrão em qualquer serviço exposto continuam sendo a porta de entrada mais barata para um invasor.
