Evooo1Bot convierte routers y equipos perimetrales Linux en proxies SOCKS5 para ocultar ataques

FortiGuard Labs identificó una familia Linux previamente no documentada denominada Evooo1Bot. Aunque reutiliza el motor DDoS de Mirai, añade comunicaciones C2 cifradas, fuerza bruta SSH, captura de credenciales, una consola remota de 28 comandos, persistencia y un módulo SOCKS5 que convierte cada dispositivo comprometido en un punto de retransmisión.

La telemetría indica actividad desde julio de 2026 contra routers, cámaras IP, firewalls, gateways y otras plataformas Linux expuestas en Internet. Los intentos observados descargaban un loader desde 91.92.40[.]118 y seleccionaban uno de doce binarios según la arquitectura del equipo.

La campaña intenta comprometer productos de Alcatel, NETGEAR, Tenda, Mitsubishi Electric, Telesquare y D-Link mediante fallas conocidas. El módulo interno también contiene rutinas para Hikvision, Atlassian Confluence, Zyxel, TP-Link, PHP-CGI, Kubernetes ingress-nginx y WSO2, aunque FortiGuard advierte que algunas entradas están implementadas incorrectamente y no funcionarían tal como fueron programadas.

Tras infectar el dispositivo, Evooo1Bot limpia el historial de Bash, comprueba la presencia de herramientas de análisis y trata de evadir honeypots. Puede persistir mediante systemd, SysV init, cron, perfiles de shell y rc.local.

El proxy SOCKS5 inverso es especialmente relevante porque permite encubrir el origen de operaciones posteriores, superar restricciones geográficas y alcanzar redes internas desde un equipo ya comprometido. La misma infraestructura puede monetizarse como proxy clandestino o utilizarse para DDoS y nuevas intrusiones.

Las organizaciones deben inventariar dispositivos perimetrales, aplicar firmware vigente y retirar productos sin soporte. También deben buscar conexiones con la infraestructura publicada, mecanismos de persistencia inesperados y procesos que mantengan sesiones cifradas salientes por el puerto 443.