O seu router pode estar a esconder o rasto de atacantes: o caso Evooo1Bot

Uma nova família de malware para Linux está a transformar routers domésticos, firewalls e câmaras IP em pontos de passagem para tráfego malicioso. A FortiGuard Labs, da Fortinet, diz estar a acompanhar uma família de botnet para Linux até agora não documentada, batizada de Evooo1Bot a partir da string «evooo1» presente em todos os binários; embora reutilize o motor de DDoS do código-fonte do Mirai divulgado publicamente, estende esse enquadramento com comunicações C2 cifradas, um scanner de força bruta por SSH, um módulo de relay SOCKS, um sniffer de credenciais e um arsenal de exploits para várias vulnerabilidades conhecidas. Segundo a mesma análise, a telemetria da infraestrutura de comando e controlo indica atividade contra equipamentos expostos à Internet desde julho de 2026, com exploração de múltiplas vulnerabilidades em regiões diversas.

Muito mais do que um clone do Mirai

A análise foi publicada a 13 de agosto e é atribuída a Yi Ping (Cara) Lin, da FortiGuard Labs em Taiwan, que deu o nome «Evooo1Bot» à família a partir da string fixa encontrada em todos os binários. A Fortinet classifica a severidade como crítica e considera que qualquer organização pode ser afetada, com o resultado de os atacantes remotos obterem controlo dos sistemas vulneráveis.

O que distingue esta família do habitual derivado do Mirai é a engenharia em torno do código original. Os investigadores descrevem comunicações C2 cifradas, várias camadas de obfuscação de strings com AES-256-CTR, ChaCha20 e derivação de chaves por XOR, além de uma interface de administração remota com 28 comandos — capacidades que, na sua avaliação, colocam o Evooo1Bot muito acima da linha de base técnica do malware convencional derivado do Mirai. A proteção das strings estáticas é aplicada em tempo de compilação e o mesmo procedimento de desencriptação trata mais de 60 blocos cifrados.

Há ainda dois detalhes que revelam maturidade operacional. De acordo com a FortiGuard Labs, o scanner de SSH ignora dispositivos claramente configurados como honeypots para tráfego malicioso, e existe um «sniffer» que procura credenciais de acesso por omissão que nunca foram alteradas desde a colocação em serviço do equipamento. Ou seja: o operador tenta evitar sistemas de armadilha usados por investigadores e, ao mesmo tempo, recolher credenciais que continuam a ser o elo mais fraco em equipamentos de rede de consumo e de PME.

As vulnerabilidades usadas para entrar

O Evooo1Bot chegou ao radar da equipa através da telemetria de IPS da Fortinet, com tentativas ativas de exploração contra vários equipamentos de fronteira e todos os callbacks de payload a apontarem para o mesmo URL de loader, em 91.92.40[.]118/wget.sh. A lista de CVE observadas mistura falhas com quase duas décadas e uma vulnerabilidade divulgada em 2025.

A mais recente da lista é particularmente ilustrativa do problema do equipamento em fim de vida. Segundo a base de dados NVD, o CVE-2025-55583 corresponde a uma injeção de comandos de sistema operativo sem autenticação no componente fileaccess.cgi do firmware FW2.05WWB02 do D-Link DIR-868L B1: o endpoint /dws/api/UploadFile aceita o parâmetro pre_api_arg, que é passado diretamente a funções de execução de shell sem sanitização nem autenticação, permitindo a execução de comandos arbitrários como root através de pedidos HTTP manipulados. No aviso de suporte que agrega estes relatórios, a D-Link indica que todos os modelos e revisões de hardware em causa atingiram o fim de vida e de serviço, recomendando a retirada e substituição dos equipamentos. Não haverá, portanto, correção: a mitigação passa por substituir o dispositivo.

Nem todo o arsenal funciona, note-se. A FortiGuard Labs verificou que algumas entradas contêm erros de implementação que impedem a exploração bem-sucedida, porque o código não replica o vetor de ataque real — o tipo de vulnerabilidade é incompatível com injeção de comandos ou o alvo não tem uma interface exposta que corresponda ao pedido —, sendo por isso não exploráveis tal como são distribuídas.

O módulo que muda o jogo: relay SOCKS inverso

Para os investigadores, a peça mais relevante não é o DDoS. O módulo de relay SOCKS inverso é descrito como o mais significativo em termos operacionais: ao transformar um router, firewall, câmara IP ou outro equipamento de fronteira num proxy persistente, permite aos atacantes esconder a sua origem real, saltar para redes internas e conduzir operações subsequentes através da infraestrutura da vítima.

Na prática, isto significa que um equipamento infetado pode nunca gerar tráfego de ataque visível e continuar a ser abusado: serve de fachada para atividade criminosa que, vista de fora, parte de um endereço IP residencial ou de uma PME portuguesa. É um modelo que ganhou tração no mercado dos proxies residenciais e que muda o cálculo de risco para quem gere infraestrutura de fronteira, porque o comprometimento pode ser silencioso e prolongado.

Cadeia de infeção e indicadores

O script wget.sh descarrega e executa o binário correspondente à arquitetura de CPU do dispositivo, recorrendo a 12 variantes e tentando wget, busybox wget, curl ou tftp por esta ordem; o ficheiro é escrito num caminho temporário, tornado executável e lançado, e o histórico da shell é limpo após a infeção. Cada tentativa de exploração inclui uma etiqueta de campanha no comando de descarga — por exemplo -s mitsu para alvos Mitsubishi Electric e rep.alcatel para alvos Alcatel-Lucent —, o que indica que o operador contabiliza separadamente o rendimento de infeção por vulnerabilidade.

Quanto à dimensão, é preciso cautela: o relatório não indica quantos dispositivos foram comprometidos a nível mundial, mas a telemetria da empresa mostra atividade concentrada na América do Norte, América do Sul, Europa, Índia, China e Japão. Não existe, para já, uma contagem verificável de vítimas.

Medidas de mitigação concretas

• Inventariar todos os equipamentos de fronteira (routers, firewalls, gravadores de vídeo, câmaras, RTU industriais) e confirmar a versão de firmware em uso.
• Aplicar as atualizações disponíveis dos fabricantes e substituir o que já não recebe correções — no caso do DIR-868L, a própria D-Link recomenda retirar e substituir equipamento em fim de vida, que deixa de receber suporte técnico, atualizações de firmware e remediação de segurança.
• Desativar interfaces de administração (HTTP/HTTPS, SSH, Telnet, UPnP) acessíveis do lado da Internet e restringir o acesso a redes de gestão.
• Eliminar credenciais por omissão e reutilizadas, dado que o malware procura precisamente esse tipo de credenciais.
• Bloquear e monitorizar o indicador de rede conhecido e procurar ligações de saída persistentes e anómalas a partir de equipamentos de rede, típicas de um relay reverso.
• Em caso de suspeita, isolar o dispositivo, reiniciar de fábrica, reinstalar firmware atualizado e só depois recolocar em serviço com credenciais novas.

Porque é que isto importa em Portugal

O tecido empresarial português está cheio de equipamento de fronteira barato, instalado há anos e raramente atualizado — em escritórios, clínicas, oficinas, alojamento local e instalações industriais. É exatamente este universo que o Evooo1Bot procura. Um router comprometido não é apenas um problema do seu proprietário: passa a ser infraestrutura ofensiva usada contra terceiros, com o endereço IP da organização a aparecer nos registos da vítima.

Para as entidades abrangidas pelo Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a NIS2), a gestão de vulnerabilidades, o inventário de ativos e a segurança da cadeia de aquisição de equipamento deixaram de ser boas práticas opcionais e passaram a integrar deveres de gestão de risco, com obrigação de notificação de incidentes significativos ao CNCS. O CERT.PT continua a ser o ponto de contacto nacional para reportar e obter apoio em incidentes desta natureza, e as equipas de segurança devem tratar indicadores como o URL de loader acima como material de deteção imediata.

Há também um ângulo de proteção de dados. Um proxy persistente dentro do perímetro dá aos atacantes um caminho para sistemas internos onde residem dados pessoais; se essa progressão resultar em acesso ou exfiltração, entra-se no domínio das obrigações do RGPD, incluindo a avaliação do risco para os titulares e a eventual notificação à CNPD. Manter firmware atualizado e retirar de serviço equipamento sem suporte é, neste contexto, uma medida técnica de segurança e não apenas uma questão de higiene informática.

Perguntas frequentes

O que é o Evooo1Bot?

É uma família de botnet para Linux identificada pela FortiGuard Labs, que reutiliza o motor de DDoS do Mirai e acrescenta comunicações cifradas com o servidor de comando e controlo, força bruta por SSH, recolha de credenciais e um módulo de relay SOCKS que transforma o equipamento infetado num proxy persistente.

Que equipamentos estão em risco?

Foram observadas tentativas de exploração de vulnerabilidades em produtos Alcatel, NETGEAR, Tenda, Telesquare, D-Link e em RTU da Mitsubishi Electric Europe e INEA. Em termos gerais, o risco abrange qualquer equipamento Linux de fronteira exposto à Internet com firmware desatualizado ou credenciais por omissão.

Como sei se o meu router está infetado?

Não há um sinal único e fiável no interface do equipamento. Procure ligações de saída persistentes e injustificadas, aumento inexplicado de tráfego, alterações de configuração ou de DNS e contactos com o indicador de rede divulgado. Em caso de dúvida, isole o dispositivo, faça reinício de fábrica e reinstale firmware atualizado.

O que devem fazer as PME portuguesas de imediato?

Levantar o inventário de equipamento de rede, atualizar o firmware, substituir dispositivos em fim de suporte, fechar interfaces de administração expostas à Internet e trocar credenciais por omissão. As entidades abrangidas pelo Regime Jurídico da Cibersegurança devem ainda garantir capacidade de deteção e o reporte de incidentes significativos ao CNCS.

Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela FortiGuard Labs (Fortinet), pela base de dados NVD do NIST e por avisos de suporte da D-Link.