Uma nova botnet Linux, denominada Evooo1Bot, está transformando dispositivos de borda expostos na internet em ferramentas para interrupção de serviços, acesso remoto e relaying de tráfego. Identificada por analistas da Fortinet, a ameaça explora falhas conhecidas e tenta logins SSH fracos para comprometer equipamentos de rede, combinando código derivado do framework Mirai vazado com funções de proxy, sniffing de credenciais e exploração de vulnerabilidades específicas.
O que mudou agora
O Evooo1Bot representa uma evolução significativa em relação às botnets DDoS tradicionais. Ao incorporar módulos de proxy SOCKS5 e capacidades de exploração direcionada, os operadores podem usar dispositivos comprometidos não apenas para ataques de negação de serviço, mas também como pontos de entrada para redes internas ou como intermediários para ocultar suas origens.
Vetor e exploração
O malware utiliza um dispatcher de exploits capaz de entregar payloads através de fraquezas conhecidas em produtos de fabricantes como D-Link, Tenda, Hikvision, Zyxel e TP-Link. Após o comprometimento, um loader recupera o binário adequado à arquitetura do processador da vítima, executa-o temporariamente e limpa o histórico do Bash para evitar detecção forense básica.
Impacto e alcance
A capacidade de sequestro de dispositivos de borda amplia drasticamente o potencial de dano. Cada dispositivo infectado adiciona capacidade de ataque e novos pontos de acesso para os criminosos. A botnet opera desde julho de 2026, com campanhas rastreadas separadamente dependendo da vulnerabilidade explorada, indicando uma operação organizada e persistente.
Implicações regulatórias (LGPD)
Dispositivos de borda comprometidos podem servir como porta de entrada para redes corporativas onde dados pessoais são processados. Se um atacante utilizar um roteador ou câmera IoT invadida para acessar sistemas internos, isso pode configurar uma violação de segurança de dados pessoais sob a LGPD, exigindo notificação à ANPD e aos titulares afetados, além de medidas corretivas imediatas.
Análise técnica detalhada
O módulo de relay SOCKS permite que o bot abra um listener TCP na porta 1080 ou crie links de saída criptografados para um servidor de relé selecionado pelo operador, permitindo que o tráfego passe pela vítima sem expor um listener à internet. Além disso, o scanner SSH embutido contém mais de 150 credenciais incorporadas, incluindo nomes de contas de serviço comuns em ambientes empresariais, e verifica banners SSH para evitar honeypots.
Medidas de mitigação recomendadas
Organizações devem implementar as seguintes defesas:
- Inventário de Ativos: Mapeie todos os equipamentos conectados à internet e aplique patches de firmware rapidamente.
- Redução de Superfície de Ataque: Desative o gerenciamento remoto onde não for necessário e utilize senhas administrativas únicas e fortes.
- Monitoramento de Rede: Investigue listeners SOCKS inexplicáveis, downloads agendados e conexões de saída criptografadas de appliances.
- Segmentação de Rede: Isolate dispositivos de borda em VLANs separadas para limitar o movimento lateral.
Perguntas frequentes
Como detectar o Evooo1Bot? Monitore tráfego de saída incomum em portas não padrão, conexões a IPs conhecidos da infraestrutura C2 e tentativas de login SSH repetidas.
É necessário reiniciar os dispositivos? Sim, após a remoção do malware, recomenda-se reiniciar os dispositivos para garantir que os processos maliciosos sejam encerrados completamente.