Evooo1Bot lợi dụng lỗ hổng cũ để biến thiết bị biên thành proxy SOCKS5
"Researchers identified Evooo1Bot, a previously undocumented Linux botnet derived from Mirai source code, that infects edge devices and converts them into SOCKS5 proxies while also supporting DDoS, credential theft, SSH brute forcing, and exploit delivery. The botnet has been active since July 2026 and abuses multiple known vulnerabilities across routers, cameras, firewalls, and other internet-facing devices; mitigation requires patching the affected products and blocking malicious C2 and loader infrastructure."
Rủi ro cao do khai thác lỗ hổng đã biết, chiếm quyền thiết bị biên và ẩn lưu lượng qua proxy SOCKS5. Có thể dẫn tới DDoS, đánh cắp thông tin xác thực và làm bàn đạp cho xâm nhập tiếp theo.
Có thể gây gián đoạn dịch vụ, tăng rủi ro lộ lọt dữ liệu và làm suy giảm độ tin cậy của hạ tầng biên. Tổ chức có nhiều thiết bị Internet-facing cần ưu tiên vá lỗi và giám sát lưu lượng.
Các nhà nghiên cứu an ninh đã phát hiện một họ Linux botnet chưa từng được ghi nhận trước đây, có tên Evooo1Bot, được cho là phát triển từ mã nguồn Mirai. Mã độc này nhắm vào các thiết bị biên có thể truy cập từ Internet như router, camera, firewall và thiết bị công nghiệp, sau đó biến chúng thành SOCKS5 proxy để phục vụ các hoạt động tiếp theo.
Theo phân tích, botnet này đã hoạt động từ tháng 7/2026 và khai thác nhiều lỗ hổng đã biết trên các sản phẩm của nhiều nhà cung cấp, bao gồm các CVE từ CVE-2007-3010 đến CVE-2025-1974. Sau khi khai thác thành công, hệ thống tải một script wget.sh từ máy chủ bên ngoài, lấy về binary phù hợp kiến trúc CPU và xóa Bash history để che dấu dấu vết.
Evooo1Bot hỗ trợ DDoS, SSH brute force, đánh cắp HTTP Basic Authorization và Cookie, triển khai shell tương tác, duy trì hiện diện và chuyển hướng lưu lượng qua proxy. Mã độc cũng dùng kết nối mã hóa tới C2 trên cổng 443 để hòa lẫn với lưu lượng HTTPS.
Khuyến nghị: vá ngay các CVE liên quan, kiểm tra thiết bị biên có phơi nhiễm Internet, chặn C2/loader IP được nêu trong báo cáo, và giám sát lưu lượng bất thường trên cổng 443 cũng như các dấu hiệu SOCKS5 proxy hoặc SSH brute force.