Beveiligingsonderzoekers hebben een Linux-botnetfamilie onder de aandacht gebracht die eerder niet publiek gedocumenteerd was: Evooo1Bot. De kern van de dreiging is bijzonder: het malwarepakket kan internet-facing apparaten ombouwen tot een SOCKS5-proxy. Daardoor krijgt de aanvaller niet alleen extra rekenkracht, maar ook een handig middel om vervolgverkeer te verbergen en gerichter door te dringen.
Volgens Fortinet FortiGuard Labs hergebruikt de malware basisfunctionaliteit uit de broncode van Mirai. Tegelijk breidt Evooo1Bot het systeem uit met extra modules, waaronder versleutelde command-and-control (C2)-communicatie, een SSH-brute-force scanner, een credential sniffer en een exploitarsenaal voor bekende kwetsbaarheden. Het botnet is sinds juli 2026 zichtbaar in het wild.
Wat is Evooo1Bot?
Evooo1Bot is ontworpen voor compromis van randapparatuur, zoals routers en firewalls die publiek bereikbaar zijn. Zodra een apparaat geraakt is, registreert de malware zichzelf bij de C2-infrastructuur en wacht het op instructies van de aanvaller.
Waar Mirai vooral bekend staat om DDoS-functionaliteit, focust Evooo1Bot op het combineren van bestaande aanvalstechnieken met extra capabilities die het belang van elk besmet device vergroten. Dat gebeurt onder meer door netwerkrelay-gedrag en door het gericht benutten van zwakke plekken in apparatuur.
Evooo1Bot SOCKS5-proxy: waarom dat zo waardevol is
De meest opvallende feature is de proxycomponent. Daarmee kan een geïnfecteerde router, firewall, IP-camera of ander edge-apparaat fungeren als SOCKS5-proxy. Voor de aanvaller betekent dit dat verkeer via het besmette apparaat kan worden gerouteerd als onderdeel van vervolgactiviteiten.
Onderzoekers geven aan dat dit meerdere doelen kan dienen:
- IP-verhulling: aanvallers kunnen het IP-adres van het slachtoffer gebruiken om malafide netwerkverkeer minder herkenbaar te maken.
- Omzeilen van beperkingen: denk aan geografische restricties of andere toegangsfilters.
- Toegang tot interne netwerken: via een al gecompromitteerd systeem kan later makkelijker richting interne omgevingen worden bewogen.
In grotere botnetten kan diezelfde proxyfunctionaliteit uitgroeien tot een distributed infrastructuur voor anoniem relayeren of zelfs voor verdienmodellen rond proxy-diensten.
Van infectie naar lader: hoe Evooo1Bot start
De uitrol begint doorgaans met het uitvoeren van een loader shell script, aangeduid als wget.sh. Dit script wordt gehost op een externe locatie (genoemd als 91.92.40[.]118) en dient om een botnetbinair bestand op te halen dat past bij de CPU-architectuur van het doelapparaat.
Daarna zet de malware extra stappen om sporen te verminderen. Eén van die maatregelen is het wissen van Bash history zodat mogelijke indicaties van de aanval minder zichtbaar zijn voor iemand die lokaal het systeem inspecteert.
Detectie van analyseomgevingen
Vervolgens controleert het binaire bestand of het in een omgeving met analyse-tools, sandbox-achtige constructies of virtuele omgevingen draait. Pas als die signalen ontbreken, gaat de malware door met de volgende fase.
Versleutelde C2 en communicatie via poort 443
Om sturing vanuit het botnet mogelijk te maken, legt Evooo1Bot versleutelde communicatie tot stand met een command-and-control server. Daarbij wordt poort 443 gebruikt.
De keuze voor 443 is niet toevallig. Door zich te gedragen zoals normaal HTTPS-verkeer, kan de malware beter opgaan in routine-communicatie aan de netwerkperimeter. Na registratie bij de C2-server volgt een fase van wachten op opdrachten.
Commands en modules: van proxy tot DDoS en besturingsacties
Eenmaal actief ondersteunt Evooo1Bot meerdere commando’s en functionaliteiten. De onderzoekers beschrijven onder meer mogelijkheden om:
- Persistence te installeren of te onderhouden
- het botbestand te updaten
- de malware te beëindigen wanneer dat nodig is
- bestanden te uploaden of downloaden
- een interactive shell te starten
- HTTP Basic Authorization en Cookie-headers af te tappen
- het device om te zetten naar een proxy-node (SOCKS5)
- een SSH brute-force scanner te starten
- DDoS-aanvallen te triggeren via DNS, TCP en UDP
- een HTTP-based exploit dispatcher te gebruiken voor bekende kwetsbaarheden
Deze mix laat zien dat Evooo1Bot niet alleen op compromitteren stuurt, maar ook op uitbreiding en op het klaarzetten van routes voor vervolgverkeer.
Exploitarsenaal: bekende CVE’s in publieke edge-apparaten
De aanval omvat een CVE-module waarmee het botnet exploits kan lanceren voor acht kwetsbaarheden. Daarbij worden onder meer omgevingen genoemd die variëren van camera- en netwerkcomponenten tot applicaties en platformsoftware.
De aangedragen voorbeelden van kwetsbaarheden die Evooo1Bot kan uitbuiten zijn:
- CVE-2021-36260 (Hikvision)
- CVE-2022-26134 (Atlassian Confluence)
- CVE-2022-29464 (WSO2)
- CVE-2022-30525 (Zyxel)
- CVE-2023-1389 (TP-Link)
- CVE-2024-4577 (PHP)
- CVE-2024-10914 (D-Link)
- CVE-2025-1974 (Kubernetes)
Daarnaast somt Fortinet ook meerdere andere CVE’s op die door de botnetfamilie werden gekoppeld aan het compromis van diverse fabrikantsystemen. Voorbeelden die in het overzicht staan zijn CVE-2007-3010 (Alcatel OmniPCX Enterprise), CVE-2016-6277 (NETGEAR routers), CVE-2018-14558 (Tenda AC7/AC9/AC10) en een reeks kwetsbaarheden bij Tenda, Telesquare, D-Link en meer.
Samengevat: Evooo1Bot richt zich op apparaten en services met bekende zwakheden die vaak door beheerachterstand of onvoldoende afscherming bereikbaar blijven vanaf het internet.
Wat kunt u doen om dit type dreiging te beperken?
Omdat het botnet leunt op bekende kwetsbaarheden en op publiek bereikbare edge-systemen, draait preventie vooral om het verkleinen van het aanvalsoppervlak en het snel dichtzetten van bekende lekken.
- Patch edge-apparatuur: routers, firewalls en IP-camera’s moeten volgens een strikt patchregime worden bijgehouden, inclusief modellen die niet in reguliere applicatieprocessen zitten.
- Beperk externe toegang: laat alleen noodzakelijke diensten publiek toegankelijk en gebruik waar mogelijk VPN of IP-whitelisting.
- Controleer SSH-gedrag: verhoogde brute-force pogingen kunnen een indicatie zijn dat een botnet probeert zich verder te verspreiden.
- Let op ongebruikelijke C2-patronen: communicatie op poort 443 is niet automatisch verdacht, maar combineer netwerklogs met andere signalen zoals onverwachte uitgaande verbindingen of nieuwe processen.
- Monitor voor proxy-activiteiten: wanneer een edge-device plotseling proxy- of relaygedrag vertoont, is dat een alarmsignaal.
Als u wilt verdiepen hoe botnets en exploitketens in de praktijk kunnen samenkomen, kan dit artikel over een vergelijkbare exploitketen u helpen: Unisoc VoLTE video-call: exploitketen tot kernel. En voor bredere context rond het misbruiken van infrastructuur voor vervolgacties is dit ook relevant: Preventie valt stil binnenin het netwerk.
Waarom dit bericht extra aandacht verdient
Evooo1Bot is geen ‘klassieke’ malware alleen gericht op één doel. Door edge-apparaten om te zetten naar SOCKS5-proxy’s, maakt het botnet slachtoffers waardevoller voor aanvallers: het kan vervolgverkeer verbergen, toegang vergemakkelijken en aanvallen efficiënter uitvoeren.
Bovendien combineert de malware verschillende aanvalslijnen: van exploitdistributie naar DDoS, van SSH-brute-force tot het onderscheppen van bepaalde HTTP-authenticatiegegevens. Daardoor is de kans groter dat een besmet apparaat niet bij één incident blijft.
Conclusie
Het Linux-botnet Evooo1Bot SOCKS5-proxy laat zien hoe dreigingen zich ontwikkelen van puur DDoS-gebruik naar multifunctionele platforms. Met versleutelde C2 op poort 443, een exploitarsenaal met bekende CVE’s en de mogelijkheid om edge-apparaten als SOCKS5-proxy te gebruiken, vergroot het botnet de impact van elk compromis.
Voor organisaties betekent dit vooral: zorg dat edge-apparatuur actueel is, beperk publieke blootstelling en monitor gedrag dat niet past bij normaal gebruik. Door vroeg te ingrijpen bij patching en toegangsbescherming, voorkomt u dat bekende kwetsbaarheden worden ingezet om apparaten om te vormen tot onderdeel van een proxy-infrastructuur.
Bron: https://thehackernews.com/2026/08/evooo1bot-linux-botnet-exploits-known.html
