Fortinet FortiGuard Labs’in son incelemesine göre Evooo1Bot adlı Linux botnet, internet’e açık cihazlardaki bilinen açıkları kullanarak yönlendirici, güvenlik duvarı ve IP kamera gibi edge cihazları SOCKS5 proxy düğümüne çeviriyor. Kampanyanın Temmuz 2026’dan bu yana sahada aktif olduğu, enfekte edilen sistemler üzerinden hem kalıcılık sağladığı hem de saldırganlara ağ geçidi işlevi sunduğu belirtiliyor.
Analize göre Evooo1Bot’un çekirdek işlevleri Mirai botnet kaynak koduna dayanıyor. Ancak zararlı yazılım, Mirai’nin yayılan DDoS motorunun ötesine geçerek şifreli C2 iletişimi, SSH brute-force tarayıcısı, SOCKS relay modülü, kimlik bilgisi koklayıcısı ve çok sayıda bilinen zafiyeti hedefleyen gömülü bir istismar setiyle genişletilmiş durumda. Fortinet FortiGuard Labs, zararlı yazılımın internet’e dönük cihazları SOCKS proxy’lerine çevirmeye hazırlandığını da aktardı.
Fortinet’in açıklamasına göre botnet, kamuya açık Mirai kaynak kodundan alınan DDoS motorunu yeniden kullanıyor. Buna eklenen yetenekler arasında şifreli komuta ve kontrol iletişimi, SSH brute-force taraması, SOCKS relay modülü, credential sniffer ve birden fazla bilinen açığı hedefleyen entegre bir exploit cephaneliği yer alıyor.
Eski açıklar yeniden silahlanıyor
Botnet’in teslimat zinciri, internet üzerinden erişilebilen cihazlardaki güvenlik açıklarının istismarıyla başlıyor. Fortinet’in bulgularına göre saldırganlar yükleme sonrası bir shell betiği olan wget.sh dosyasını 91.92.40[.]118 adresindeki harici bir sunucudan çekiyor. Bu betik, cihazın CPU mimarisiyle uyumlu botnet ikilisini indiriyor ve ardından Bash geçmişini temizleyerek saldırı izlerini silmeye çalışıyor.
Rapor, kampanyanın çok eski güvenlik açıklarından yeni yayımlanmış hatalara kadar uzanan geniş bir CVE listesi kullandığını gösteriyor. Hedeflenen açıklardan bazıları şunlar: CVE-2007-3010 kodlu Alcatel OmniPCX Enterprise uzaktan kod çalıştırma açığı, CVE-2016-6277 kodlu NETGEAR çoklu yönlendirici uzaktan kod çalıştırma açığı ve CVE-2018-14558 kodlu Tenda AC7, AC9 ve AC10 yönlendiricilerindeki komut enjeksiyonu açığı.
Liste bununla da sınırlı kalmıyor. Fortinet, CVE-2019-14931 kodlu Mitsubishi Electric Europe B.V. ME-RTU ve INEA ME-RTU cihazlarına yönelik uzaktan komut enjeksiyonu açığını, CVE-2020-10987 kodlu Tenda AC1900 Router AC15 Model uzaktan kod çalıştırma açığını ve CVE-2021-46422 kodlu Telesquare SDT-CW3B1 komut enjeksiyonu açığını da işaret ediyor.
Botnet’in kullandığı diğer zafiyetler arasında CVE-2022-37055 kodlu D-Link yönlendiricilerindeki buffer overflow açığı, CVE-2024-29269 kodlu Telesquare TLR-2005KSH komut enjeksiyonu açığı, CVE-2025-10123 kodlu D-Link DIR-823X komut enjeksiyonu açığı ve CVE-2025-55583 kodlu D-Link DIR-868L B1 yönlendirici komut enjeksiyonu açığı bulunuyor.
Fortinet’e göre başarılı bir istismarın ardından sistem, dış sunucuda barındırılan wget.sh betiğiyle bir yükleyici shell script çalıştırıyor. Script, cihazın işlemci mimarisine uygun botnet binary’sini indiriyor ve saldırının izini azaltmak için Bash geçmişini siliyor.
İkili çalıştırıldığında ortamı analiz araçları, sandbox’lar ve sanal ortamlar açısından kontrol ediyor. Ardından 443 numaralı port üzerinden komuta ve kontrol sunucusuyla şifreli bağlantı kuruyor. Fortinet, bu port tercihini zararlı yazılımın ağ sınırındaki beklenen HTTPS trafiğiyle karışmasını sağlamak için yaptığını belirtiyor. Ana makine C2 sunucusuna kaydedildikten sonra yeni komutları bekliyor.
Saldırganın gönderebildiği komutlar arasında kalıcılık mekanizmaları kurma, ikiliyi güncelleme, botu sonlandırma, dosya yükleme ve indirme, etkileşimli kabuk açma, HTTP Basic Authorization ile Cookie başlıklarını yakalama, ana makineyi proxy düğümüne dönüştürme, SSH brute-force tarayıcısı başlatma, DNS, TCP ve UDP üzerinden DDoS saldırıları başlatma ve bilinen açıkları istismar etmek için HTTP tabanlı bir exploit dağıtıcısı çalıştırma yer alıyor.
CVE saldırı modülü ise Hikvision için CVE-2021-36260, Atlassian Confluence için CVE-2022-26134, WSO2 için CVE-2022-29464, Zyxel için CVE-2022-30525, TP-Link için CVE-2023-1389, PHP için CVE-2024-4577, D-Link için CVE-2024-10914 ve Kubernetes için CVE-2025-1974 açıklarına yönelik istismarları başlatabiliyor.
Proxy bileşeni ise enfekte edilmiş bir yönlendirici, güvenlik duvarı, IP kamera ya da başka bir edge cihazını SOCKS5 proxy’ye çeviriyor. Fortinet, bu yeteneğin saldırganın ağ trafiğini vekil üzerinden yönlendirmesine, coğrafi kısıtlamaları aşmasına ve daha önce ele geçirilmiş bir makine üzerinden iç ağlara erişmesine imkân verdiğini aktardı.
Şirkete göre aynı işlev daha büyük botnet’lerde dağıtık bir proxy altyapısı kurmak için de kullanılabiliyor. Bu durumda anonim trafik iletimi ya da konut ve kurumsal proxy hizmetleri üzerinden para kazanma mümkün hale geliyor.