⚡ Não perca: notícia importante no ar! ⚡
Não deixe essa passar: clique e saiba tudo!
Apoie esse projeto de divulgacao de noticias! Clique aqui
Um novo malware de botnet Linux modular baseado em Mirai, chamado Evooo1Bot, tem como alvo dispositivos de gateway voltados para a Internet, transformando-os em nós de retransmissão de tráfego SOCKS5.
Os recursos do malware vão além de transformar dispositivos em nós proxy e incluem roubo de credenciais, força bruta SSH e lançamento de ataques distribuídos de negação de serviço (DDoS).
Desde pelo menos julho, o Evooo1Bot tem como alvo dispositivos da Alcatel, NETGEAR, Tenda, Mitsubishi Electric, Telesquare e D-Link em várias regiões, explorando vulnerabilidades conhecidas.
Distribuição geográfica atual do Evooo1BotFonte: Fortinet
“Embora o malware reutilize o mecanismo DDoS do código-fonte Mirai vazado publicamente, ele estende a estrutura original com vários recursos, incluindo comunicações C2 criptografadas, um scanner de força bruta SSH, um módulo de retransmissão SOCKS, um sniffer de credenciais e um arsenal de exploração integrado visando múltiplas vulnerabilidades conhecidas”, descobriram os pesquisadores da Fortinet.
As compilações mais recentes incluem um módulo separado de exploração de vulnerabilidades direcionado a câmeras Hikvision, Atlassian Confluence, firewalls Zyxel, roteadores TP-Link, dispositivos D-Link NAS, produtos WSO2, Kubernetes ingress-nginx e instalações PHP-CGI vulneráveis.
No entanto, a Fortinet observa que algumas das explorações incorporadas não são implementadas corretamente, levando a falhas na exploração.
Ao aproveitar uma exploração com sucesso, um script baixa uma das 12 versões de malware disponíveis que correspondem à arquitetura da CPU do host e, em seguida, limpa o histórico do Bash para limpar vestígios do ataque.
O Evooo1Bot usa comunicações criptografadas de comando e controle (C2) na porta 443 e realiza verificações extensivas de depuradores, ferramentas de segurança, sandboxes, máquinas virtuais, contêineres e honeypots antes de ser iniciado no dispositivo infectado.
A persistência é estabelecida por meio de systemd, SysV init, perfis de shell e rc.local, enquanto um cron job tenta baixar novamente a carga útil a cada cinco minutos.
Os módulos do malwareFonte: Fortinet
Um shell interativo dá aos operadores controle direto sobre os sistemas comprometidos, enquanto os comandos de transferência de arquivos suportam uploads e downloads.
O malware também possui um módulo sniffer de credenciais que monitora ‘/proc/net/tcp’ e tenta capturar autenticação básica HTTP e cabeçalhos de cookies.
O módulo SOCKS5 suporta modos de escuta direta e retransmissão reversa, permitindo que invasores ocultem tráfego malicioso, contornem restrições geográficas ou potencialmente acessem redes através de sistemas comprometidos.
A Fortinet diz que as sessões de proxy são executadas de forma independente e múltiplas podem ser abertas simultaneamente, permitindo a monetização por meio de serviços de proxy residencial se a botnet crescer o suficiente.
O módulo de scanner SSH usa 150 combinações de nome de usuário e senha para contas corporativas e realiza verificações pós-login para evitar honeypots.
Finalmente, o módulo DDoS herdado pela Mirai suporta 16 métodos de inundação, incluindo UDP, DNS, SYN, ACK, GRE, TCP fragmentado e uma inundação HTTP com solicitações personalizáveis.
Para se defender contra malware de botnet, mantenha o firmware dos seus dispositivos IoT atualizado, substitua as credenciais de administrador padrão, desligue os painéis de acesso remoto e substitua os dispositivos quando o fornecedor não fornecer mais suporte para eles.
Depois que os invasores tiverem credenciais válidas, apenas 37% de suas ações serão bloqueadas
As pontuações gerais de prevenção podem ocultar o que acontece após o acesso inicial. Quando os invasores usam credenciais válidas, a prevenção cai drasticamente. O Blue Report 2026 mede as defesas técnica por técnica em 338 milhões de simulações executadas em ambientes de produção de clientes.
Obtenha o relatório
Os recursos do malware vão além de transformar dispositivos em nós proxy e incluem roubo de credenciais, força bruta SSH e lançamento de ataques distribuídos de negação de serviço (DDoS).
Desde pelo menos julho, o Evooo1Bot tem como alvo dispositivos da Alcatel, NETGEAR, Tenda, Mitsubishi Electric, Telesquare e D-Link em várias regiões, explorando vulnerabilidades conhecidas.
Distribuição geográfica atual do Evooo1BotFonte: Fortinet
“Embora o malware reutilize o mecanismo DDoS do código-fonte Mirai vazado publicamente, ele estende a estrutura original com vários recursos, incluindo comunicações C2 criptografadas, um scanner de força bruta SSH, um módulo de retransmissão SOCKS, um sniffer de credenciais e um arsenal de exploração integrado visando múltiplas vulnerabilidades conhecidas”, descobriram os pesquisadores da Fortinet.
As compilações mais recentes incluem um módulo separado de exploração de vulnerabilidades direcionado a câmeras Hikvision, Atlassian Confluence, firewalls Zyxel, roteadores TP-Link, dispositivos D-Link NAS, produtos WSO2, Kubernetes ingress-nginx e instalações PHP-CGI vulneráveis.
No entanto, a Fortinet observa que algumas das explorações incorporadas não são implementadas corretamente, levando a falhas na exploração.
Ao aproveitar uma exploração com sucesso, um script baixa uma das 12 versões de malware disponíveis que correspondem à arquitetura da CPU do host e, em seguida, limpa o histórico do Bash para limpar vestígios do ataque.
O Evooo1Bot usa comunicações criptografadas de comando e controle (C2) na porta 443 e realiza verificações extensivas de depuradores, ferramentas de segurança, sandboxes, máquinas virtuais, contêineres e honeypots antes de ser iniciado no dispositivo infectado.
A persistência é estabelecida por meio de systemd, SysV init, perfis de shell e rc.local, enquanto um cron job tenta baixar novamente a carga útil a cada cinco minutos.
Os módulos do malwareFonte: Fortinet
Um shell interativo dá aos operadores controle direto sobre os sistemas comprometidos, enquanto os comandos de transferência de arquivos suportam uploads e downloads.
O malware também possui um módulo sniffer de credenciais que monitora ‘/proc/net/tcp’ e tenta capturar autenticação básica HTTP e cabeçalhos de cookies.
O módulo SOCKS5 suporta modos de escuta direta e retransmissão reversa, permitindo que invasores ocultem tráfego malicioso, contornem restrições geográficas ou potencialmente acessem redes através de sistemas comprometidos.
A Fortinet diz que as sessões de proxy são executadas de forma independente e múltiplas podem ser abertas simultaneamente, permitindo a monetização por meio de serviços de proxy residencial se a botnet crescer o suficiente.
O módulo de scanner SSH usa 150 combinações de nome de usuário e senha para contas corporativas e realiza verificações pós-login para evitar honeypots.
Finalmente, o módulo DDoS herdado pela Mirai suporta 16 métodos de inundação, incluindo UDP, DNS, SYN, ACK, GRE, TCP fragmentado e uma inundação HTTP com solicitações personalizáveis.
Para se defender contra malware de botnet, mantenha o firmware dos seus dispositivos IoT atualizado, substitua as credenciais de administrador padrão, desligue os painéis de acesso remoto e substitua os dispositivos quando o fornecedor não fornecer mais suporte para eles.
Depois que os invasores tiverem credenciais válidas, apenas 37% de suas ações serão bloqueadas
As pontuações gerais de prevenção podem ocultar o que acontece após o acesso inicial. Quando os invasores usam credenciais válidas, a prevenção cai drasticamente. O Blue Report 2026 mede as defesas técnica por técnica em 338 milhões de simulações executadas em ambientes de produção de clientes.
Obtenha o relatório
#samirnews #samir #news #boletimtec #novo #botnet #evooo1bot #linux #transforma #roteadores #em #nós #de #retransmissão #de #tráfego
💡 Compartilhe e ajude nosso projeto a crescer!
Postar um comentário