Red Hot Cyber
Sicurezza Informatica, Notizie su Cybercrime, Analisi Vulnerabilità e Intelligenza Artificiale
Fortinet ha identificato Evooo1Bot, una nuova botnet Linux basata su Mirai che sfrutta vulnerabilità note in router, firewall, NAS e telecamere IP per compromettere migliaia di dispositivi. Il malware crea proxy SOCKS5, ruba credenziali, esegue brute force SSH, mantiene la persistenza sul sistema e supporta attacchi DDoS su larga scala.
I ricercatori di Fortinet hanno scoperto una nuova botnet Linux, Evooo1Bot , basata sul codice sorgente di Mirai. Il malware attacca router, firewall, telecamere IP e altri dispositivi periferici accessibili da Internet, trasformandoli in proxy SOCKS5. Inoltre, il malware è in grado di rubare credenziali, forzare le connessioni SSH e condurre attacchi DDoS.
Secondo i ricercatori, Evooo1Bot è attivo almeno da luglio 2026. Per effettuare le infezioni iniziali, la botnet sfrutta vulnerabilità note nei dispositivi di Alcatel, Netgear, Tenda, Mitsubishi Electric, Telesquare e D-Link. Tra queste figurano i bug CVE-2007-3010 , CVE-2016-6277 , CVE-2018-14558 , CVE-2019-14931 , CVE-2020-10987 , CVE – 2021-46422 , CVE-2022-37055 , CVE -2024-29269 , CVE-2025-10123 e CVE-2025-55583 .
Dopo aver sfruttato con successo una vulnerabilità, uno script wget.sh viene scaricato sul dispositivo, il quale determina l’architettura del processore e scarica la versione appropriata di Evooo1Bot (i ricercatori hanno scoperto in totale 12 versioni del malware). Lo script cancella quindi la cronologia di Bash per nascondere le tracce dell’attacco.
Prima dell’avvio, il malware controlla il sistema alla ricerca di debugger, strumenti di sicurezza, sandbox, macchine virtuali, container e honeypot. Se non rileva alcuna anomalia, Evooo1Bot stabilisce una connessione crittografata al server di comando e controllo tramite la porta 443, mascherando il proprio traffico come normale HTTPS.
Per infiltrarsi nel sistema, il malware utilizza systemd, SysV init, profili shell e rc.local. Inoltre, crea un processo cron che tenta di scaricare nuovamente il payload ogni cinque minuti. Gli operatori della botnet possono anche aprire una shell interattiva sull’host infetto, consentendo loro di caricare e scaricare file e aggiornare il malware stesso.
Secondo gli esperti, uno dei componenti principali di Evooo1Bot trasforma i dispositivi infetti in proxy SOCKS5. Il modulo SOCKS5 può operare in due modalità: accettando connessioni dirette o stabilendo una connessione inversa all’infrastruttura degli aggressori. Inoltre, su un dispositivo infetto possono essere eseguite simultaneamente diverse sessioni proxy indipendenti.
Di conseguenza, l’infrastruttura botnet può essere utilizzata per nascondere il traffico dannoso, aggirare le restrizioni geografiche, accedere alle reti interne tramite dispositivi già compromessi o monetizzare attraverso servizi proxy residenziali e aziendali.
Un modulo separato di Evooo1Bot monitora anche /proc/net/tcp e tenta di intercettare le intestazioni di autorizzazione con i dati di autenticazione di base, nonché le intestazioni dei cookie. Un altro componente è responsabile del brute-forcing SSH, provando 150 combinazioni di nome utente e password e, in caso di successo, eseguendo ulteriori controlli per evitare di essere vittima di honeypot.
Si segnala che le ultime build di Evooo1Bot sono dotate anche di un modulo separato progettato per sfruttare le vulnerabilità. Questo modulo attacca le telecamere Hikvision ( CVE-2021-36260 ), Atlassian Confluence ( CVE-2022-26134 ), i prodotti WSO2 ( CVE-2022-29464 ), i firewall Zyxel ( CVE-2022-30525 ), i router TP-Link ( CVE-2023-1389 ), i NAS D-Link ( CVE-2024-10914 ), nonché le installazioni vulnerabili di PHP-CGI ( CVE-2024-4577 ) e Kubernetes ( CVE-2025-1974 ).
Tuttavia, i ricercatori notano che alcuni degli exploit integrati sono implementati in modo errato e non funzionano.
Infine, Evooo1Bot ha ereditato da Mirai un modulo DDoS che supporta 16 varianti di flooding (tra cui UDP, DNS, SYN, ACK, GRE), attacchi tramite pacchetti TCP frammentati, nonché flooding HTTP con richieste personalizzate.
Betti RHC, la prima graphic novel al mondo dedicata alla cybersecurity awareness, ha finalmente il suo sito ufficiale. Uno spazio tutto suo dove scoprire il progetto, sfogliare le copertine degli episodi e immergersi nel mondo di Betti: la giovane laureanda in informatica che, dopo la morte misteriosa del padre, si trasforma nell'hacker più potente del mondo. Una storia avvincente che, episodio dopo episodio, affronta una minaccia digitale diversa — dal phishing al ransomware, fino al cyberbullismo — e insegna a riconoscerla e a difendersi, senza che sembri mai una lezione.
Sul sito trovate tutto ciò che rende Betti un progetto diverso dal solito: la sua filosofia, le anteprime delle tavole e il racconto di come nasce ogni volume. Perché dietro Betti RHC c'è solo lavoro umano: ogni tavola è disegnata interamente a mano dagli artisti del Gruppo Arte di Red Hot Cyber, senza alcun uso di intelligenza artificiale. E a garantire che ogni storia sia realistica e tecnicamente corretta c'è la supervisione degli hacker etici del gruppo HackerHood, che mantengono il racconto fedele al mondo reale della sicurezza informatica.
C'è spazio anche per le aziende, che possono usare Betti come strumento di awareness diverso dai soliti corsi: acquistare i volumi, personalizzarli con il proprio brand o sponsorizzare nuovi episodi. E come primo regalo, l'episodio "Byte the Silence", dedicato al cyberbullismo, è scaricabile gratuitamente per uso personale.
Perché la miglior difesa, in fondo, è una bella storia. 👉 Scopri tutto su https://betti.redhotcyber.com/