基于 Mirai 的新型 Evooo1Bot 僵尸网络瞄准 Linux 设备

Evooo1Bot 是一个基于 Mirai 的 Linux 僵尸网络，劫持路由器和物联网设备，用于 DDoS 攻击、凭据窃取和犯罪代理服务。
Fortinet 的 FortiGuard Labs 于 8 月中旬披露了 Evooo1Bot，这是一个此前未被记录的 Linux 僵尸网络，自 2026 年 7 月以来一直活跃。该僵尸网络借用了 Mirai 的 DDoS 引擎，但在此基础上增加了加密的命令与控制通信、SSH 暴力破解扫描器、凭据嗅探器以及 SOCKS5 代理模块。
"FortiGuard Labs 一直在追踪一个此前未被记录的 Linux 僵尸网络家族，我们将其命名为 Evooo1Bot。该名称源于在每个二进制文件中发现的硬编码字符串 'evooo1'。"Fortinet 发布的报告中写道。"虽然该恶意软件复用了公开泄露的 Mirai 源代码中的 DDoS 引擎，但它用众多功能扩展了原始框架，包括加密的 C2 通信、SSH 暴力破解扫描器、SOCKS 中继模块、凭据嗅探器，以及一个针对多个已知漏洞的集成漏洞利用武器库。"
该僵尸网络针对 18 个已知 CVE，其中一些可追溯到 2007 年，包括：
CVE-2007-3010：Alcatel OmniPCX Enterprise 远程代码执行漏洞
CVE-2016-6277：NETGEAR 多款路由器远程代码执行漏洞
CVE-2018-14558：Tenda AC7、AC9 和 AC10 路由器命令注入漏洞
CVE-2019-14931：Mitsubishi Electric Europe B.V. ME-RTU 设备和 INEA ME-RTU 设备远程命令注入漏洞
CVE-2020-10987：Tenda AC1900 路由器 AC15 型号远程代码执行漏洞
CVE-2021-46422：Telesquare SDT-CW3B1 命令注入漏洞
CVE-2022-37055：D-Link 路由器缓冲区溢出漏洞
CVE-2024-29269：Telesquare TLR-2005KSH 命令注入漏洞
CVE-2025-10123：D-Link DIR-823X 命令注入漏洞
CVE-2025-55583：D-Link DIR-868L B1 路由器命令注入漏洞
该僵尸网络仅通过 443 端口通信，这是有意为之：其流量在网络边界融入预期的 HTTPS 流量中。在通过其某个漏洞利用模块或暴力破解的 SSH 凭据获得初始访问权限后，该僵尸网络会运行一个加载器脚本，清除 Bash 历史以抹除入侵痕迹，然后从外部服务器拉取与架构匹配的二进制文件。
其覆盖面之广表明，操作者是在机会性地扫描任何未修补的设备，而非针对特定组织。
"此功能显著提高了受感染主机对攻击者的价值。受害者的 IP 地址可用于伪装恶意流量、绕过地理限制，或通过已遭入侵的机器提供对内部网络的访问。"报告继续写道。"在更大的僵尸网络中，同样的功能还可用于构建分布式代理基础设施，实现匿名流量转发，或通过住宅和企业代理服务实现变现。"
Evooo1Bot 因其代理模块而脱颖而出。一个由遭入侵的路由器、摄像头和防火墙组成的网络充当 SOCKS5 中继，是一种有价值的商品；操作者可以自己使用它来掩盖攻击流量，或者将访问权限出售给其他寻求不会触发地理封锁的住宅或企业 IP 地址的犯罪分子。
"与专注于下载载荷或发起攻击的典型僵尸网络命令不同，!socks 模块将受感染主机转变为一个操作者可用作网络中继的 SOCKS5 代理。它支持两种运行模式。在直接模式下，它在受感染主机上于默认 TCP 端口 1080 开启一个 SOCKS5 监听器，并等待传入的客户端连接。该实现首先尝试创建双栈 IPv6 监听器，若失败则回退到 IPv4。随后，每个被接受的客户端都被传递给会话处理器进行代理转发。"报告继续写道。"该僵尸网络还实现了反向中继模式。僵尸网络不暴露监听端口，而是建立一条到操作者指定中继服务器的出站加密连接。这条持久控制信道监听诸如 RELAY_NEW:<session_id> 之类的命令，这些命令指示应创建新的代理会话。"
建立 C2 联系后，该僵尸网络接受涵盖完整入侵后工具包的命令：文件上传和下载、交互式 Shell 访问、持久化安装、二进制更新、HTTP Basic Auth 和 Cookie 请求头拦截、基于 DNS、TCP 和 UDP 的 DDoS，以及 HTTP 漏洞利用分发器。
凭据嗅探器会截获传输中的身份验证请求头，因此任何流经受感染设备的 HTTP Basic Auth 凭据都可以被捕获，而无需操作者付出额外努力。如果你仍在运行上述 CVE 列表中带有未修补固件的设备，或者你的任何边缘硬件正在使用默认 SSH 凭据，那么 Evooo1Bot 已经在扫描你了。
"除了传统的僵尸网络功能外，它还具有加密的 C2 通信、使用 AES-256-CTR、ChaCha20 和基于 XOR 的密钥派生实现的多层字符串混淆，以及一个包含 28 条命令的远程管理接口。"报告总结道。"这些能力使 Evooo1Bot 远远超出了传统 Mirai 衍生恶意软件的技术基线。"