Router ed edge device diventano proxy anonimi duraturi
Evooo1Bot sposta il problema oltre il solito traffico DDoS: un router o un edge device compromesso può diventare un nodo di uscita stabile, usato per far passare traffico altrui e nascondere l’origine dell’attaccante. Il risultato non è solo rumore di botnet. È anche offuscamento dell’attribuzione e abuso prolungato dell’IP della vittima.
Fortinet attribuisce a Evooo1Bot sfruttamenti attivi di 10 CVE su router, Tenda, NETGEAR, Mitsubishi Electric e Telesquare, tra vecchie e nuove falle, e segnala un modulo SOCKS relay che trasforma i dispositivi infetti in proxy persistenti. In pratica, il malware non si limita a reclutare host per il flood: li tiene disponibili come uscita anonima per altre attività malevole.
Per chi difende apparati esposti su Internet, il punto è che la compromissione può restare utile anche dopo il primo contenimento. Un cleanup che guarda solo al DDoS rischia di perdere l’uso successivo del device come relay, con impatto su reputazione IP e interdizione di rete.