قابلیت‌های پیشرفته و چندمنظوره بات‌نت Evooo1Bot
به گفته آزمایشگاه FortiGuard شرکت Fortinet، این بدافزار از موتور حملات انکار سرویس توزیع‌شده (DDoS) موجود در کد منبع افشاشده Mirai استفاده می‌کند، اما قابلیت‌های آن به مراتب فراتر از نسخه اولیه Mirai است. بات‌نت Evooo1Bot به مجموعه‌ای از امکانات پیشرفته، از جمله ارتباط رمزنگاری‌شده با سرور فرماندهی و کنترل (C2)، اسکنر بروت فورس (Brute-Force) برای هدف قرار دادن سرویس SSH، ماژول رله (Relay) برای برقراری ارتباط از طریق SOCKS، ابزار سرقت اطلاعات احراز هویت و مجموعه‌ای از اکسپلویت‌های یکپارچه برای سوءاستفاده از چندین آسیب‌پذیری شناخته‌شده مجهز شده است.
سوءاستفاده از آسیب‌پذیری‌های شناخته‌شده برای آلوده‌سازی دستگاه‌ها
شواهد نشان می‌دهد بات‌نت Evooo1Bot از جولای 2026 در حملات فعال بوده است. مهاجمان با سوءاستفاده از آسیب‌پذیری‌های شناخته‌شده در دستگاه‌های قابل دسترسی از طریق اینترنت، این بدافزار را روی سیستم‌های هدف نصب می‌کنند.
برخی از آسیب‌پذیری‌های هدف این بات‌نت عبارتند از:
- CVE-2007-3010: آسیب‌پذیری اجرای کد از راه دور (RCE) در Alcatel OmniPCX Enterprise
- CVE-2016-6277: آسیب‌پذیری اجرای کد از راه دور (RCE) در چندین مدل روتر NETGEAR
- CVE-2018-14558: آسیب‌پذیری تزریق دستور (Command Injection) در روترهای Tenda AC7، AC9 و AC10
- CVE-2019-14931: آسیب‌پذیری تزریق دستور از راه دور (Remote Command Injection) در دستگاه‌های Mitsubishi Electric Europe B.V. ME-RTU و INEA ME-RTU
- CVE-2020-10987: آسیب‌پذیری اجرای کد از راه دور (RCE) در روتر Tenda AC1900 مدل AC15
- CVE-2021-46422: آسیب‌پذیری تزریق دستور در Telesquare SDT-CW3B1
- CVE-2022-37055: آسیب‌پذیری سرریز بافر (Buffer Overflow) در روترهای D-Link
- CVE-2024-29269: آسیب‌پذیری تزریق دستور در Telesquare TLR-2005KSH
- CVE-2025-10123: آسیب‌پذیری تزریق دستور در D-Link DIR-823X
- CVE-2025-55583: آسیب‌پذیری تزریق دستور در روتر D-Link DIR-868L B1
اجرای لودر و حذف آثار حمله
پس از سوءاستفاده موفق از آسیب‌پذیری، یک اسکریپت شِل (Shell Script) با نام wget.sh اجرا می‌شود که روی سروری خارجی با IP 91.92.40[.]118 میزبانی شده است. این اسکریپت سپس فایل باینری بات‌نت سازگار با معماری پردازنده (CPU Architecture) دستگاه را دریافت می‌کند. در مرحله بعد، اسکریپت تاریخچه Bash را پاک می‌کند تا آثار فعالیت مهاجم و شواهد مربوط به اجرای دستورات مخرب روی سیستم از بین برود. در این مرحله، بات‌نت علاوه بر استقرار فایل مخرب، تلاش می‌کند ردپای اجرای خود را نیز تا حد امکان از روی سیستم آلوده حذف کند.
شناسایی محیط‌های تحلیل و برقراری ارتباط با C2
بات‌نت Evooo1Bot پس از اجرای فایل باینری، سیستم را بررسی می‌کند تا ابزارهای تحلیل و بررسی امنیتی، سندباکس (Sandbox) و محیط‌های مجازی (Virtual Environments) را شناسایی کند. این قابلیت به بدافزار اجازه می‌دهد محیط‌های مورد استفاده برای تحلیل و بررسی امنیتی را شناسایی کرده و در صورت اجرا شدن در چنین محیط‌هایی، فعالیت خود را مخفی کند.
پس از پایان این بررسی، بدافزار از طریق پورت 443 یک ارتباط رمزنگاری‌شده با سرور فرماندهی و کنترل (C2) برقرار می‌کند. انتخاب پورت 443 آگاهانه انجام شده است؛ زیرا ترافیک این پورت می‌تواند با ارتباطات معمول HTTPS اشتباه گرفته شود و در نتیجه، شناسایی ارتباط بدافزار با سرور C2 دشوارتر گردد.
پس از ثبت دستگاه آلوده در سرور C2، بدافزار منتظر دریافت دستورات بعدی اپراتور می‌ماند و بر اساس آن‌ها فعالیت‌های موردنظر مهاجم را روی سیستم اجرا می‌کند.
کنترل دستگاه آلوده با مجموعه‌ای از دستورات بات‌نت Evooo1Bot
این بات‌نت مجموعه‌ای از دستورات را پشتیبانی می‌کند که به اپراتور امکان انجام فعالیت‌های زیر را می‌دهد:
- نصب مکانیزم‌های پایداری (Persistence)
- به‌روزرسانی فایل باینری
- متوقف‌کردن بات
- آپلود و دریافت فایل
- اجرای شل تعاملی (Interactive Shell)
- رهگیری هدرهای احراز هویت پایهHTTP و کوکی (Cookie)
- تبدیل میزبان آلوده به نود پروکسی (Proxy Node)
- اجرای اسکنر بروت‌فورس برای سرویس SSH
- اجرای حملات DDoS از طریق DNS، TCP و UDP
- اجرای توزیع‌کننده اکسپلویت مبتنی بر HTTP برای سوءاستفاده از آسیب‌پذیری‌های شناخته‌شده
ماژول حمله مبتنی بر CVE و مجموعه‌ای از اکسپلویت‌ها
ماژول حمله مبتنی بر CVE در بات‌نت Evooo1Bot امکان اجرای اکسپلویت برای هشت آسیب‌پذیری امنیتی را فراهم می‌کند. این آسیب‌پذیری‌ها مربوط به محصولات و فناوری‌های مختلف هستند:
- Hikvision با آسیب‌پذیری CVE-2021-36260
- Atlassian Confluence با آسیب‌پذیری CVE-2022-26134
- WSO2 با آسیب‌پذیری CVE-2022-29464
- Zyxel با آسیب‌پذیری CVE-2022-30525
- TP-Link با آسیب‌پذیری CVE-2023-1389
- PHP با آسیب‌پذیری CVE-2024-4577
- D-Link با آسیب‌پذیری CVE-2024-10914
- Kubernetes با آسیب‌پذیری CVE-2025-1974
تنوع این اهداف نشان می‌دهد دامنه حمله محدود به یک محصول یا گروه خاصی از تجهیزات نیست و این تهدید می‌تواند طیف گسترده‌ای از سامانه‌های آسیب‌پذیر را هدف قرار دهد.
تبدیل تجهیزات آلوده به پروکسی SOCKS5
یکی از قابلیت‌های مهم بات‌نت Evooo1Bot، ماژول پروکسی آن است. این ماژول می‌تواند روتر، فایروال، دوربین IP یا سایر تجهیزات لبه شبکه (Edge Devices) آلوده را به یک پروکسی SOCKS5 تبدیل کند.
مهاجم می‌تواند از دستگاه آلوده به‌عنوان یک رله شبکه (Network Relay) برای انجام عملیات بعدی استفاده کند و در عین حال، شناسایی منشأ واقعی فعالیت‌های مخرب را دشوارتر نماید.
به گفته Fortinet، این قابلیت باعث می‌شود دستگاه آلوده برای مهاجمان ارزش بیشتری پیدا کند. مهاجم می‌تواند از IP دستگاه قربانی برای پنهان‌کردن ترافیک مخرب، دور زدن محدودیت‌های جغرافیایی و دسترسی به شبکه‌های داخلی از طریق همان سیستم آلوده استفاده کند.
در بات‌نت‌های بزرگ‌تر، همین قابلیت می‌تواند برای ایجاد یک زیرساخت پروکسی توزیع‌شده (Distributed Proxy) مورد استفاده قرار گیرد؛ زیرساختی که امکان انتقال ناشناس ترافیک یا کسب درآمد از طریق سرویس‌های پروکسی خانگی (Residential Proxy) و سازمانی را فراهم می‌کند.
