Sin embargo, Fortinet señala que algunos de los exploits integrados no están implementados correctamente, lo que provoca fallos en la explotación.

Cuando se utiliza un exploit con éxito, un script descarga una de las 12 compilaciones de malware disponibles que coinciden con la arquitectura de CPU del host, y luego borra el historial de Bash para eliminar los rastros del ataque.

Evooo1Bot utiliza comunicaciones de comando y control (C2) cifradas a través del puerto 443 y realiza comprobaciones exhaustivas de depuradores, herramientas de seguridad, sandboxes, máquinas virtuales, contenedores y honeypots antes de ejecutarse en el dispositivo infectado.

La persistencia se establece a través de systemd, SysV init, perfiles de shell y rc.local, mientras que una tarea de cron intenta volver a descargar la carga útil cada cinco minutos.

Los módulos del malware

Fuente: Fortinet

Una shell interactiva otorga a los operadores control directo sobre los sistemas comprometidos, mientras que los comandos de transferencia de archivos admiten cargas y descargas.

El malware también cuenta con un módulo rastreador de credenciales que monitorea ‘/proc/net/tcp’ e intenta capturar la autenticación básica HTTP y las cabeceras de Cookies.

El módulo SOCKS5 admite modos de escucha directa y de retransmisión inversa, lo que permite a los atacantes ocultar el tráfico malicioso, eludir restricciones geográficas o potencialmente acceder a redes a través de sistemas comprometidos.

Fortinet afirma que las sesiones de proxy se ejecutan de forma independiente y se pueden abrir varias simultáneamente, lo que permite la monetización a través de servicios de proxy residenciales si la botnet crece lo suficiente.

El módulo de escaneo SSH utiliza 150 combinaciones de nombre de usuario y contraseña para cuentas orientadas a empresas, y realiza comprobaciones posteriores al inicio de sesión para evitar honeypots.

Finalmente, el módulo DDoS heredado de Mirai admite 16 métodos de inundación, incluidos UDP, DNS, SYN, ACK, GRE, TCP fragmentado y una inundación HTTP con solicitudes personalizables.

Para defenderse contra el malware de botnets, mantenga actualizado el firmware de sus dispositivos IoT, reemplace las credenciales de administrador predeterminadas, desactive los paneles de acceso remoto y reemplace los dispositivos cuando el proveedor ya no brinde soporte para ellos.

Fuente:
BleepingComputer