FortiGuard Labs phân tích Evooo1Bot: Linux botnet nhắm thiết bị Internet-facing

FortiGuard Labs cho biết họ phát hiện hoạt động qua IPS telemetry, với callback của các lần thử khai thác quan sát được trỏ tới cùng một loader URL. Báo cáo liệt kê nhiều CVE liên quan thiết bị/ứng dụng khác nhau và mô tả loader tải binary phù hợp kiến trúc CPU. Tác giả nêu bot kết nối C2 qua TCP 443 sau bước kiểm tra môi trường.

Theo phân tích của hãng, framework có module persistence, file transfer, interactive shell, sniffer, SSH scanner, SOCKS5 relay, exploit và DDoS dựa một phần trên Mirai. FortiGuard cũng lưu ý một số entry khai thác nhúng trong malware bị lỗi triển khai và không hoạt động như được viết. Chi tiết này quan trọng: danh sách CVE trong binary không đồng nghĩa tất cả CVE đều đã được khai thác thành công.

Thời điểm NetVali kiểm tra nguồn: 05:38 ngày 16/08/2026 (UTC+7). Ngày bài nguồn hiển thị: 13/08/2026.

Khác biệt đáng chú ý theo báo cáo là phạm vi chức năng rộng hơn một Mirai-derived DDoS bot thông thường. Reverse SOCKS relay có thể biến thiết bị bị chiếm thành điểm trung chuyển outbound, che nguồn và hỗ trợ hoạt động tiếp theo. SSH dictionary chứa cả tên tài khoản thường gặp trong doanh nghiệp/OT theo quan sát của FortiGuard, không chỉ credential router dân dụng.

Malware còn kiểm tra dấu hiệu honeypot/emulation và dùng nhiều cơ chế persistence. Tuy vậy, đây là mô tả mẫu do một hãng phân tích; mức độ phổ biến, attribution và tỷ lệ thành công trên từng sản phẩm chưa thể suy ra cho mọi mạng.

Dữ kiện từ nguồn · Ý nghĩa vận hành · Cần kiểm chứng độc lập Nhắm Linux Internet-facing · Ưu tiên edge inventory · Thiết bị/version có thực sự affected Callback/C2 qua 443 · Có thể hòa vào HTTPS outbound · TLS/SNI/destination/process context SSH brute force · Credential hygiene quan trọng · SSH exposure, account và auth log SOCKS relay · Nguy cơ thiết bị thành proxy · Listener/outbound relay và flow pattern Nhiều CVE trong module · Attack surface đa sản phẩm · Vendor advisory, patch và exploitability Có entry khai thác lỗi · Không coi bảng CVE là bằng chứng · Telemetry/PCAP/log của chính tổ chức

Đội vận hành nên xây danh sách thiết bị edge, camera, router, firewall, NAS, OT gateway và Linux appliance có quản trị. Ghép model/firmware với advisory chính thức của từng hãng, không chỉ chuỗi CPE hoặc tên CVE trong bài nghiên cứu. Kiểm tra exposure Internet, management interface, SSH, default/shared credential và khả năng cập nhật.

Về detection, ưu tiên tương quan process/network thay vì chặn mọi TCP 443. Thiết bị embedded bình thường có thể dùng 443 cho update hoặc cloud management. Cần baseline destination, DNS/SNI/certificate, connection periodicity, bytes, process nếu thấy được, và thay đổi bất thường. IOC trong bài có giá trị hunting tại thời điểm công bố nhưng có thể thay đổi hoặc bị dùng chung; không phải proof tuyệt đối.

Ưu tiên cao nhất nên dành cho asset Internet-facing, hết hỗ trợ, dùng credential yếu hoặc có affected version được vendor xác nhận. Asset chỉ trùng tên sản phẩm nhưng không trùng version/configuration phải được phân loại riêng.

• Đội NetOps/SecOps quản lý router, firewall, camera, NAS và Linux appliance.
• Chủ hệ thống OT có gateway hoặc engineering service truy cập Internet.
• MSP/MSSP quản trị nhiều tenant với firmware không đồng nhất.
• Đội vulnerability management cần ghép CVE với inventory thực.
• Đội SOC/NDR theo dõi egress, SSH brute force và proxy behavior.

Báo cáo của FortiGuard không chứng minh mọi CVE được liệt kê đều bị Evooo1Bot khai thác thành công ở mọi phiên bản. Không thể kết luận một thiết bị nhiễm chỉ vì mở TCP 443, chạy Linux, có listener 1080 hoặc từng bị scan SSH. Cũng không nên suy rộng “critical” trong bài hãng thành CVSS hay mức rủi ro nội bộ nếu chưa đánh giá exposure và hậu quả.

Không chạy loader, IOC hoặc sample malware trên mạng sản xuất. Nếu cần validation, sử dụng traffic replay đã làm sạch, PCAP, IOC rule và lab sandbox được phê duyệt. Các tuyên bố sản phẩm bảo vệ ở cuối bài nguồn là thông tin của Fortinet, không phải kiểm chứng độc lập của NetVali.

• [ ] Inventory mọi Linux/embedded device Internet-facing và owner.
• [ ] Ghi model, firmware, support status, management port và public exposure.
• [ ] Đối chiếu từng CVE với advisory chính thức của đúng hãng/version.
• [ ] Kiểm tra SSH: public exposure, password auth, default/shared account và failed login.
• [ ] Hunt IOC nguồn trong DNS, proxy, firewall, NDR và endpoint log.
• [ ] Baseline outbound 443 theo destination, SNI/cert, cadence và byte volume.
• [ ] Tìm listener SOCKS/proxy bất thường nhưng xác minh process/context trước kết luận.
• [ ] Rà cron, profile, rc.local và thay đổi persistence phù hợp nền tảng.
• [ ] Nếu nghi nhiễm, cô lập, bảo toàn evidence và đổi credential từ hệ thống sạch.
• [ ] Vá/reimage theo hướng dẫn hãng; xác minh lại exposure và traffic sau khắc phục.
• [ ] Kiểm thử rule bằng PCAP/replay an toàn, không phát malware thật.

• Botnet: Tập thiết bị bị điều khiển từ xa cho hoạt động phối hợp.
• C2: Command and control, hạ tầng/lưu lượng điều khiển malware.
• SOCKS relay: Proxy chuyển tiếp kết nối, có thể biến thiết bị thành điểm trung gian.
• Internet-facing: Dịch vụ hoặc interface có thể tiếp cận trực tiếp từ Internet.
• IOC: Dấu hiệu kỹ thuật hỗ trợ hunting; không phải bằng chứng duy nhất.
• SSH brute force: Thử nhiều credential để đăng nhập SSH.
• Mirai-derived: Mã hoặc kiến trúc có nguồn gốc/tương đồng với Mirai; không đồng nghĩa mọi chức năng giống nhau.