Evooo1Bot
Ficha presunta. Sus datos vienen de reportes públicos que nombran al arma (fuentes al pie) y todavía no los corrobora una segunda fuente independiente. Cuando otra fuente coincida, la ficha pasa a verificada.
Qué es
Evooo1Bot es una botnet de Linux no documentada previamente, construida sobre el motor de DDoS de Mirai. Se reporta activa desde julio de 2026. La evidencia no especifica quién la usa, aunque indica que se basa en el código fuente filtrado de Mirai.
Cómo llega
Explota múltiples vulnerabilidades en dispositivos de borde. La base de datos asocia la amenaza con doce CVE específicos, incluyendo CVE-2007-3010, CVE-2016-6277, CVE-2018-14558, CVE-2020-10987, CVE-2021-36260, CVE-2022-26134, CVE-2022-29464, CVE-2022-30525, CVE-2022-37055, CVE-2023-1389, CVE-2023-34362 y CVE-2024-4577.
Qué hace una vez dentro
Realiza comunicaciones C2 cifradas, escaneo de fuerza bruta SSH y reenvío SOCKS. Incluye capacidad de olfateo de credenciales y un arsenal de exploits integrado. Emplea cifrado de cadenas en múltiples capas usando AES-256-CTR, ChaCha20 y derivación de claves basada en XOR.
A quién ataca
Apunta a dispositivos expuestos a Internet. La evidencia menciona explícitamente que explota vulnerabilidades en dispositivos de borde ubicados en diversas regiones, sin detallar sectores específicos más allá de la exposición a la red pública.
Técnicas de MITRE ATT&CK
| Táctica | Técnica | ID |
|---|---|---|
| Reconocimiento | Gather Victim Identity Information | T1589 |
| Reconocimiento | Active Scanning | T1595 |
| Desarrollo de recursos | Acquire Infrastructure | T1583 |
| Desarrollo de recursos | Stage Capabilities | T1608 |
| Acceso inicial | Exploit Public-Facing Application | T1190 |
| Ejecución | Cron | T1053.003 |
| Ejecución | Command and Scripting Interpreter | T1059 |
| Ejecución | Unix Shell | T1059.004 |
| Persistencia | RC Scripts | T1037.004 |
| Persistencia | External Remote Services | T1133 |
| Persistencia | Systemd Service | T1543.002 |
| Sigilo | Obfuscated Files or Information | T1027 |
| Sigilo | Clear Command History | T1070.003 |
| Sigilo | Hidden Files and Directories | T1564.001 |
| Debilitamiento de defensas | Modify Authentication Process | T1556 |
| Acceso a credenciales | Brute Force | T1110 |
| Acceso a credenciales | Password Guessing | T1110.001 |
| Acceso a credenciales | Credentials In Files | T1552.001 |
| Acceso a credenciales | Adversary-in-the-Middle | T1557 |
| Descubrimiento | System Information Discovery | T1082 |
| Descubrimiento | Account Discovery | T1087 |
| Movimiento lateral | SSH | T1021.004 |
| Movimiento lateral | Exploitation of Remote Services | T1210 |
| Comando y control | Application Layer Protocol | T1071 |
| Comando y control | Proxy | T1090 |
| Comando y control | Ingress Tool Transfer | T1105 |
| Comando y control | Non-Standard Port | T1571 |
| Comando y control | Protocol Tunneling | T1572 |
| Comando y control | Encrypted Channel | T1573 |
| Exfiltración | Exfiltration Over Alternative Protocol | T1048 |
| Impacto | Network Denial of Service | T1498 |
| Impacto | Endpoint Denial of Service | T1499 |
Fuente: AlienVault OTX: técnicas de 2 reportes dedicados al arma.
Vulnerabilidades asociadas
| CVE | Producto | CVSS | KEV de CISA | Fuente |
|---|---|---|---|---|
| CVE-2007-3010 | Alcatel OmniPCX Enterprise | 9.8 | Sí | AlienVault OTX (presunta) |
| CVE-2016-6277 | NETGEAR Multiple Routers | 8.8 | Sí | AlienVault OTX (presunta) |
| CVE-2018-14558 | Tenda AC7, AC9, and AC10 Routers | 9.8 | Sí | AlienVault OTX (presunta) |
| CVE-2020-10987 | Tenda AC1900 Router AC15 Model | 9.8 | Sí | AlienVault OTX (presunta) |
| CVE-2021-36260 | Hikvision Security cameras web server | 9.8 | Sí | AlienVault OTX (presunta) |
| CVE-2022-26134 | Atlassian Confluence Server/Data Center | 9.8 | Sí | AlienVault OTX (presunta) |
| CVE-2022-29464 | WSO2 Multiple Products | 9.8 | Sí | AlienVault OTX (presunta) |
| CVE-2022-30525 | Zyxel Multiple Firewalls | 9.8 | Sí | AlienVault OTX (presunta) |
| CVE-2022-37055 | D-Link Routers | 9.8 | Sí | AlienVault OTX (presunta) |
| CVE-2023-1389 | TP-Link Archer AX21 | 8.8 | Sí | AlienVault OTX (presunta) |
| CVE-2023-34362 | Progress MOVEit Transfer | 9.8 | Sí | AlienVault OTX (presunta) |
| CVE-2024-4577 | PHP Group PHP | 9.8 | Sí | AlienVault OTX (presunta) |
Actividad en feeds públicos
| Tipo de indicador | Nuevos en 30 días |
|---|---|
| Servidores de comando y control (IP:puerto) | 0 |
| Dominios | 0 |
| URLs | 0 |
| Hashes de archivos | 0 |
Sin indicadores nuevos en los feeds que seguimos en los últimos 30 días.
Fuentes
← Todo el catálogo de armamento
