Botnet Linux Baru Evooo1Bot Mengubah Router Menjadi Relay Traffic

Botnet Linux baru bernama Evooo1Bot mulai menargetkan perangkat gateway yang terhubung langsung ke internet dan mengubahnya menjadi node relay traffic SOCKS5. Malware yang berbasis pada Mirai ini memiliki kemampuan yang jauh lebih luas dibandingkan sekadar membentuk jaringan botnet untuk serangan DDoS.

Selain menjadikan perangkat korban sebagai proxy, Evooo1Bot dapat mencuri credentials, melakukan SSH brute-force, serta melancarkan distributed denial-of-service (DDoS) attack.

Sejak setidaknya Juli 2026, malware tersebut telah menargetkan berbagai perangkat dari Alcatel, NETGEAR, Tenda, Mitsubishi Electric, Telesquare, dan D-Link di sejumlah wilayah dengan memanfaatkan vulnerability yang telah diketahui.

Evooo1Bot Menggunakan Kerangka Mirai yang Dimodifikasi

Evooo1Bot merupakan malware modular yang memanfaatkan sebagian komponen dari Mirai, terutama mesin DDoS yang berasal dari source code Mirai yang telah bocor ke publik.

Namun, pengembang Evooo1Bot menambahkan sejumlah kemampuan baru yang membuat botnet ini lebih fleksibel dalam mengendalikan perangkat yang berhasil dikompromikan.

Malware tersebut dilengkapi encrypted command-and-control (C2) communication, SSH brute-force scanner, SOCKS relay module, credential sniffer, serta kumpulan exploit yang digunakan untuk menyerang berbagai vulnerability pada perangkat dan software yang berbeda.

Versi yang lebih baru bahkan memiliki vulnerability exploitation module terpisah yang menargetkan kamera Hikvision, Atlassian Confluence, firewall Zyxel, router TP-Link, perangkat NAS D-Link, produk WSO2, Kubernetes ingress-nginx, hingga instalasi PHP-CGI yang rentan.

Namun, tidak seluruh exploit yang tertanam dalam malware dapat digunakan dengan sukses. Beberapa implementasi exploit diketahui tidak bekerja dengan benar sehingga serangan terhadap target tertentu dapat mengalami kegagalan.

Malware Memilih Payload Berdasarkan Arsitektur CPU

Ketika berhasil mengeksploitasi perangkat, Evooo1Bot akan menjalankan script yang mengunduh salah satu dari 12 build malware yang tersedia.

Build tersebut disesuaikan dengan CPU architecture perangkat yang berhasil dikompromikan sehingga malware dapat berjalan pada berbagai jenis sistem Linux.

Setelah payload berhasil ditempatkan, malware juga berusaha menghapus Bash history untuk menghilangkan jejak aktivitas yang dilakukan selama proses kompromi.

Evooo1Bot menggunakan encrypted C2 communication melalui port 443. Sebelum menjalankan fungsi utamanya, malware melakukan berbagai pemeriksaan terhadap lingkungan sistem.

Pemeriksaan tersebut mencakup pencarian debugger, security tools, sandbox, virtual machine, container, hingga honeypot. Mekanisme ini membantu malware menghindari lingkungan yang digunakan peneliti keamanan untuk melakukan analisis.

Menggunakan Banyak Metode Persistence

Evooo1Bot juga dirancang agar tetap aktif setelah perangkat mengalami reboot.

Malware dapat membuat persistence melalui systemd, SysV init, shell profiles, dan rc.local. Selain itu, sebuah cron job digunakan untuk mencoba mengunduh kembali payload setiap lima menit.

Kombinasi beberapa mekanisme persistence membuat penghapusan malware menjadi lebih sulit jika administrator hanya membersihkan salah satu lokasi yang digunakan untuk menjalankan malware.

Setelah aktif, operator dapat berinteraksi langsung dengan sistem melalui interactive shell. Malware juga mendukung perintah untuk melakukan file transfer sehingga operator dapat mengunggah maupun mengunduh file dari perangkat yang telah dikompromikan.

Credential Sniffer Memantau Traffic Sistem

Salah satu fitur yang membuat Evooo1Bot berbeda dari botnet Mirai tradisional adalah kemampuan credential sniffing.

Modul tersebut memantau /proc/net/tcp dan mencoba menangkap informasi autentikasi yang melintas pada sistem, termasuk HTTP Basic Authentication dan Cookie headers.

Jika berhasil memperoleh credentials atau session information, data tersebut berpotensi digunakan untuk mengakses layanan lain yang terhubung dengan perangkat korban.

Kemampuan ini memperluas fungsi botnet dari sekadar alat untuk menjalankan serangan DDoS menjadi platform yang dapat digunakan untuk mengumpulkan informasi autentikasi dan melakukan aktivitas lanjutan.

Router Korban Diubah Menjadi Proxy SOCKS5

Evooo1Bot memiliki SOCKS5 module yang dapat menjalankan dua mode, yaitu direct listening dan reverse relay.

Fitur tersebut memungkinkan perangkat yang telah terinfeksi digunakan sebagai perantara traffic. Dengan demikian, operator dapat menyamarkan asal traffic berbahaya dengan meneruskannya melalui IP address milik perangkat korban.

Proxy tersebut juga dapat digunakan untuk melewati geographic restrictions atau memperoleh akses ke jaringan tertentu melalui sistem yang telah dikompromikan.

Fortinet memperingatkan bahwa setiap sesi proxy berjalan secara independen sehingga operator dapat membuka beberapa koneksi secara bersamaan.

Jika jaringan Evooo1Bot berkembang dalam skala besar, kemampuan tersebut bahkan berpotensi dimanfaatkan untuk monetisasi melalui residential proxy services.

SSH Scanner Gunakan 150 Kombinasi Credentials

Evooo1Bot juga memiliki SSH scanner yang dirancang untuk menemukan perangkat Linux lain yang dapat dikompromikan.

Scanner tersebut menggunakan sekitar 150 kombinasi username dan password, dengan fokus pada akun yang umum digunakan pada lingkungan enterprise.

Setelah berhasil melakukan login, malware menjalankan pemeriksaan tambahan untuk memastikan target bukan honeypot sebelum melanjutkan proses infeksi.

Kemampuan ini memungkinkan Evooo1Bot memperluas jaringan botnet secara otomatis dengan mencari sistem lain yang menggunakan credentials lemah atau konfigurasi SSH yang tidak aman.

DDoS Tetap Menjadi Kemampuan Utama

Meskipun memiliki banyak fitur tambahan, Evooo1Bot tetap mempertahankan mesin DDoS yang diwarisi dari source code Mirai.

Modul tersebut mendukung 16 metode flood attack, termasuk UDP, DNS, SYN, ACK, GRE, fragmented TCP, serta HTTP flood dengan request yang dapat dikustomisasi.

Dengan kombinasi DDoS engine dan SOCKS5 relay, operator tidak hanya dapat memanfaatkan perangkat korban sebagai bagian dari botnet, tetapi juga sebagai infrastruktur perantara untuk berbagai jenis aktivitas berbahaya.

Cara Melindungi Router dan Perangkat IoT

Evooo1Bot menunjukkan bagaimana router, gateway, kamera, NAS, dan perangkat IoT yang terhubung ke internet dapat menjadi target bernilai tinggi bagi operator botnet.

Untuk mengurangi risiko infeksi, administrator sebaiknya memastikan firmware perangkat selalu diperbarui, terutama ketika vendor telah merilis security patch untuk vulnerability yang dieksploitasi.

Credentials default juga harus segera diganti dengan password yang kuat dan unik. Fitur remote administration yang tidak diperlukan sebaiknya dinonaktifkan, terutama jika panel administrasi dapat diakses langsung dari internet.

Perangkat yang sudah tidak mendapatkan dukungan keamanan dari vendor juga sebaiknya diganti. Tanpa security update, vulnerability baru yang ditemukan pada perangkat tersebut dapat tetap terbuka dan memberikan peluang bagi malware seperti Evooo1Bot untuk mengambil alih sistem.

Dengan kemampuannya melakukan credential theft, SSH brute-force, proxy relay, persistence, exploit berbagai vulnerability, dan DDoS, Evooo1Bot menjadi ancaman yang lebih serbaguna dibandingkan banyak botnet IoT berbasis Mirai sebelumnya.