Evooo1Bot: एक Mirai-आधारित बॉटनेट जो Linux राउटर्स को हमलावर इन्फ्रास्ट्रक्चर में बदल रहा है

18 अगस्त, 2026 को, एक नया पहचाना गया Linux बॉटनेट राउटर्स, फायरवॉल, IP कैमरों और अन्य इंटरनेट-फेसिंग उपकरणों को वितरित हमलावर इन्फ्रास्ट्रक्चर में बदल रहा है — साइबर हमलों, क्रेडेंशियल चोरी और गुप्त ट्रैफ़िक रिले करने के लिए। यह मैलवेयर, जिसका नाम Evooo1Botहै, आंशिक रूप से कुख्यात Mirai बॉटनेट के लीक हुए सोर्स कोड पर बनाया गया है, लेकिन इसके ऑपरेटरों ने उस फॉर्मूले को कहीं अधिक व्यापक रिमोट-एक्सेस प्लेटफॉर्म में विस्तारित किया है।

यह अब क्यों मायने रखता है: यह "सिर्फ एक और Mirai DDoS बॉट" नहीं है। Fortinet की FortiGuard Labs, जिसने अपने इंट्रूज़न-प्रिवेंशन सेंसर के माध्यम से इसे ट्रैक करना शुरू किया था, एन्क्रिप्टेड कमांड-एंड-कंट्रोल, परसिस्टेंट एक्सेस, एक इंटरैक्टिव शेल, फ़ाइल ट्रांसफर, एक SSH ब्रूट-फोर्स स्कैनर और — सबसे महत्वपूर्ण बात — एक SOCKS5 प्रॉक्सी सेवा के साथ एक बहुउद्देश्यीय आपराधिक ऑपरेशन का विवरण देती है जो हमलावरों को किसी वैध घर या व्यवसाय के IP पते के पीछे छिपने की अनुमति देती है।

Evooo1Bot क्या है?

बॉटनेट का नाम Fortinet द्वारा विश्लेषित प्रत्येक बाइनरी के अंदर पाए गए हार्डकोडेड स्ट्रिंग "evooo1" से आता है। टेलीमेट्री इंगित करती है कि यह अभियान कम से कम जुलाई 2026से कई क्षेत्रों में इंटरनेट-सुलभ उपकरणों को लक्षित कर रहा है। ऑपरेटर की पहचान, स्थान और मकसद अज्ञात हैं, लेकिन डिज़ाइन केवल DDoS टूल के बजाय एक लचीले, सामान्य-उद्देश्यीय आपराधिक प्लेटफ़ॉर्म की ओर इशारा करता है। Fortinet ने इसे क्रिटिकल सेवेरिटी (गंभीर स्तर) के रूप में रेट किया क्योंकि सफल शोषण (exploitation) हमलावर को प्रभावित सिस्टम का रिमोट कंट्रोल दे देता है।

पैमाने पर एक टिप्पणी: Fortinet ने यह खुलासा नहीं किया है कि कितने उपकरण संक्रमित हैं, और देखे गए भौगोलिक प्रसार को बॉटनेट के कुल आकार के निश्चित माप के रूप में नहीं पढ़ा जाना चाहिए।

यह कैसे प्रवेश करता है: वर्षों पुरानी कमजोरियां

Evooo1Bot किसी एकल जीरो-डे पर निर्भर नहीं करता है। इसके बजाय, इसके ऑपरेटर Alcatel-Lucent, NETGEAR, Tenda, Mitsubishi Electric, Telesquare और D-Link के उपकरणों में पहले से उजागर खामियों के संग्रह — जिनमें से कुछ लगभग दो दशक पुरानी हैं — के प्रति अभी भी असुरक्षित उपकरणों के लिए इंटरनेट को स्कैन करते हैं। प्रारंभिक शोषण ट्रैफ़िक ने रिमोट-कोड-एग्जीक्यूशन, कमांड-इंजेक्शन और बफ़र-ओवरफ़्लो कमजोरियों को लक्षित किया, जिनमें शामिल हैं:

• CVE-2007-3010 — Alcatel OmniPCX Enterprise
• CVE-2016-6277 — कई NETGEAR राउटर्स
• CVE-2018-14558 — Tenda AC7 / AC9 / AC10
• CVE-2019-14931 — Mitsubishi Electric और INEA ME-RTU
• CVE-2020-10987 — Tenda AC15 AC1900
• CVE-2021-46422 — Telesquare SDT-CW3B1
• CVE-2022-37055 — D-Link राउटर्स
• CVE-2024-29269 — Telesquare TLR-2005KSH
• CVE-2025-10123 — D-Link DIR-823X
• CVE-2025-55583 — D-Link DIR-868L B1

उस सूची की आयु और व्यापकता एज-डिवाइस सुरक्षा की मूल समस्या को दर्शाती है: सुरक्षा सहायता समाप्त होने के लंबे समय बाद भी उपकरण जुड़े रहते हैं, और प्रशासकों के पास अक्सर सामान्य सर्वरों की तुलना में उनके फर्मवेयर में बहुत कम दृश्यता होती है। कभी-कभी पैच मौजूद होता है लेकिन उसे कभी इंस्टॉल नहीं किया गया था; कभी-कभी उत्पाद एंड-ऑफ-लाइफ हो जाता है और उसे पैच करने के बजाय बदलने की आवश्यकता होती है। जो उपकरण लगातार विश्वसनीय रूप से काम करता रहता है, उसे आसानी से भुला दिया जाता है — जबकि उसका प्रबंधन इंटरफ़ेस खुला रहता है और स्वचालित रूप से स्कैन किया जाता है।

Fortinet ने शोषण के प्रयासों को इस पते पर मौजूद एक लोडर पर वापस कॉल करते देखा: 91.92.40[.]118/wget.sh, जिसमें लक्षित उत्पाद की पहचान करने वाले लेबल शामिल थे — जिससे पता चलता है कि ऑपरेटर यह तय करने के लिए प्रति शोषण अभियान संक्रमण दर को ट्रैक करता है कि स्कैनिंग संसाधनों को कहाँ निर्देशित किया जाए।

लोडर: विविध हार्डवेयर के लिए निर्मित

किसी डिवाइस का शोषण होने के बाद, हमलावर एक शेल स्क्रिप्ट (wget.sh) चलाता है जो प्रभावित सिस्टम के लिए सही Evooo1Bot बाइनरी प्राप्त करती है। चूँकि एज डिवाइस कई अलग-अलग प्रोसेसर आर्किटेक्चर का उपयोग करते हैं, इसलिए लोडर 12 बाइनरी वेरिएंट प्रदान करता है और कई ट्रांसफर उपयोगिताओं — wget, BusyBox wget, curl, और TFTP — को आज़माता है ताकि डाउनलोड के सफल होने की संभावना को अधिकतम किया जा सके।

बाइनरी को एक अस्थायी स्थान पर लिखा जाता है, निष्पादन योग्य (executable) के रूप में चिह्नित किया जाता है, और लॉन्च किया जाता है। स्क्रिप्ट फिर इंस्टॉलेशन कमांड को छिपाने के लिए डिवाइस के Bash इतिहास को साफ़ कर देती है। यह केवल एक सतही एंटी-फोरेंसिक उपाय है — यह नेटवर्क, प्रोसेस, फाइल सिस्टम या सुरक्षा-उपकरण टेलीमेट्री को नहीं मिटाता है — लेकिन यह एक सतही निरीक्षण को विफल कर सकता है। मल्टी-आर्किटेक्चर दृष्टिकोण का अर्थ यह भी है कि एक बाइनरी को ब्लॉक करने से अभियान बेअसर नहीं होता है; रक्षकों को सिर्फ एक फ़ाइल हैश के बजाय पूरे इन्फ्रास्ट्रक्चर और व्यवहार की तलाश करने की आवश्यकता है।

एंटी-एनालिसिस: यह शोधकर्ताओं की तलाश करता है

एक बार चलने के बाद, Evooo1Bot जाँचता है कि क्या इसका विश्लेषण किया जा रहा है। यह दर्जनों डिबगिंग, रिवर्स-इंजीनियरिंग और मॉनिटरिंग टूल्स — GDB, strace, Wireshark, tcpdump, YARA, Ghidra, IDA, radare2, Sysdig, bpftrace — और सैंडबॉक्स, वर्चुअल मशीनों और कंटेनरों (VMware, VirtualBox, QEMU, Cuckoo, CAPE, Firejail, gVisor, और विभिन्न विश्लेषण सेवाओं) के मार्करों को स्कैन करता है। यह शुरुआती Mirai वेरिएंट की तुलना में कहीं अधिक गहन है, और इसका उद्देश्य मैलवेयर को शोधकर्ता की प्रयोगशाला के अंदर शांत रखना है।

इसका SSH स्कैनर एक दो-चरणीय हनीपॉट स्क्रीन जोड़ता है: प्रमाणित करने से पहले, यह लक्ष्य के SSH बैनर की तुलना डिकॉय सिस्टम (Cowrie, Kippo, OpenCanary) से करता है; सफल लॉगिन के बाद, यह एक वास्तविक Linux कर्नेल की जाँच करता है और हनीपॉट निर्देशिकाओं (directories) की तलाश करता है। केवल उत्तीर्ण होने वाले सिस्टम को पेलोड डिलीवरी के लिए चुना जाता है। स्कैनर की डिक्शनरी में 150 से अधिक यूज़रनेम/पासवर्ड संयोजन हैं — और विशेष रूप से, यह उपभोक्ता डिफॉल्ट तक ही सीमित नहीं है। इसमें jenkins, postgres, oracle, nagios और deployशामिल हैं, जिससे एंटरप्राइज सर्वरों और परिचालन-प्रौद्योगिकी (operational-technology) परिवेशों तक इसकी पहुंच व्यापक हो जाती है।

एन्क्रिप्टेड कमांड चैनल और 28-कमांड कंट्रोलर

Evooo1Bot अपने कमांड-एंड-कंट्रोल सर्वर से TCP पोर्ट 443पर जुड़ता है। HTTPS से जुड़े पोर्ट का उपयोग करने से दुर्भावनापूर्ण कनेक्शनों को पेरीमीटर ट्रैफ़िक में घुलने-मिलने में मदद मिलती है — हालांकि केवल पोर्ट 443 ट्रैफ़िक को वैध HTTPS नहीं बनाता है। Fortinet ने कहा कि मैलवेयर स्तरित एन्क्रिप्शन और अस्पष्टता (obfuscation) के साथ 60 से अधिक स्थिर स्ट्रिंग्स की सुरक्षा करता है — सीधे संग्रहीत करने के बजाय रनटाइम पर असेंबल की गई AES-256-CTR, ChaCha20 और XOR-व्युत्पन्न कुंजियाँ।

संक्रमित होस्ट को पंजीकृत करने के बाद, नवीनतम बिल्ड एक 28-कमांड रिमोट-एडमिनिस्ट्रेशन इंटरफ़ेसउपलब्ध कराता है: सिस्टम जानकारी का अनुरोध करना, बॉट को समाप्त या अपडेट करना, फ़ाइलें अपलोड/डाउनलोड करना, कमांड चलाना, एक इंटरैक्टिव टर्मिनल शुरू करना और बैकग्राउंड कार्य। इसका स्यूडो-टर्मिनल समर्थन हमलावर को एक साधारण कमांड-एग्जीक्यूशन इम्प्लांट की तुलना में कहीं अधिक उपयोगी रिमोट शेल देता है। फ़ाइल स्थानांतरण दोनों दिशाओं में काम करता है (10 MB डाउनलोड सीमा के साथ), जिससे ऑपरेटरों को डिवाइस का पुनः शोषण किए बिना डेटा एक्सफ़िल्ट्रेट करने या द्वितीयक टूल डालने की अनुमति मिलती है।

पर्सिस्टेंस (Persistence): एक साथ कई ठिकाने

बॉटनेट एक साथ कई दृढ़ता तंत्र (persistence mechanisms) स्थापित कर सकता है — एक systemd सेवा जिसे "Apache HTTPD Cache Manager," के रूप में प्रच्छन्न किया गया है, एक SysV init स्क्रिप्ट, एक शेल प्रोफ़ाइल में इंजेक्ट किए गए कमांड, और rc.localमें संपादन। यह एक cron कार्य भी जोड़ सकता है जो हर पांच मिनट में मैलवेयर को फिर से डाउनलोड और पुनः निष्पादित करता है, इसलिए शेड्यूल किए गए कार्य को हटाए बिना चल रही बाइनरी को हटाने से तेजी से पुनः संक्रमण हो जाता है।

यह अपने आउट-ऑफ़-मेमोरी स्कोर को और समायोजित करता है ताकि मेमोरी दबाव में कर्नेल द्वारा इसे समाप्त करने की संभावना कम हो, और /dev/watchdog को जहाँ उपलब्ध हो खुला रखता है ताकि वॉचडॉग-ट्रिगर्ड रीस्टार्ट से बचा जा सके। कौन से तंत्र सफल होते हैं यह डिवाइस के विशेषाधिकारों और init सिस्टम पर निर्भर करता है — लेकिन रूट के रूप में चलने वाली कमांड-इंजेक्शन खामी व्यापक नियंत्रण प्रदान करती है। इस कारण से, एक अलग-अलग फ़ाइलों को हटाने का प्रयास करने की तुलना में फ़ैक्टरी रीसेट या पूर्ण फर्मवेयर पुनर्स्थापना (reinstall) अक्सर अधिक सुरक्षित होती है, विशेष रूप से तब जब अंतर्निहित OS की अखंडता स्थापित नहीं की जा सकती है।

SOCKS5 रिले: क्या चीज़ प्रत्येक संक्रमण को मूल्यवान बनाती है

प्रॉक्सी मॉड्यूल सबसे स्पष्ट रूप से Evooo1Bot को केवल DDoS-आधारित Mirai व्युत्पन्न से अलग करता है। डायरेक्ट मोड में यह TCP पोर्ट 1080 पर एक SOCKS5 सेवा खोलता है (पहले IPv6 डुअल-स्टैक लिसनर, फिर IPv4 का प्रयास करता है), जिससे ऑपरेटर पीड़ित के माध्यम से मनमाने TCP कनेक्शन रूट कर सकता है। एक रिवर्स-रिले मोड इनबाउंड पोर्ट को पूरी तरह से उजागर करने से बचाता है: डिवाइस हमलावर रिले के लिए एक एन्क्रिप्टेड आउटबाउंड कनेक्शन बनाता है, और मांग पर नए एन्क्रिप्टेड सत्र शुरू करता है — जो फायरवॉल और NAT के पीछे बेहतर काम करता है।

हमलावरों के लिए लाभ: वे पासवर्ड हमलों, स्कैनिंग, धोखाधड़ी और खाता अधिग्रहण (account takeovers) को किसी वैध आवासीय या कॉर्पोरेट पते से आने वाले ट्रैफ़िक के रूप में प्रच्छन्न कर सकते हैं, जो ज्ञात होस्टिंग प्रदाताओं की तुलना में धोखाधड़ी और प्रतिष्ठा प्रणालियों से कम जांच आकर्षित करता है। उस पहुंच का उपयोग सीधे किया जा सकता है, किराए पर दिया जा सकता है, या किसी अवैध प्रॉक्सी सेवा के माध्यम से बेचा जा सकता है।

यह पीड़ितों के लिए एक द्वितीय-क्रम जोखिम (second-order risk) पैदा करता है: एक संगठन पहले किसी एज-उपकरण समझौते का शिकार हो सकता है, फिर बाद में अपने सार्वजनिक IP को असंबंधित पक्षों पर हमलों से जुड़ा पा सकता है — जिससे ब्लॉकलिस्टिंग, दुरुपयोग की शिकायतें और जांच शुरू हो सकती है, भले ही दिखाई देने वाला ट्रैफ़िक किसी और द्वारा उत्पन्न किया गया हो।

क्रेडेंशियल इंटरसेप्शन

Evooo1Bot में एक नेटवर्क-स्निफिंग फ़ंक्शन शामिल है जो Linux कनेक्शन डेटा का निरीक्षण करता है और HTTP Authorization और Cookie हेडरको कैप्चर करने का प्रयास करता है, और जो एकत्र करता है उसे /tmp/.sniff.logपर लिखता है। यह विशेष रूप से अनएन्क्रिप्टेड HTTP को खतरे में डालता है: बेसिक ऑथेंटिकेशन क्रेडेंशियल केवल एन्कोडेड होते हैं (एन्क्रिप्टेड नहीं), और सेशन कुकीज़ एक हमलावर को पासवर्ड के बिना उपयोगकर्ता का रूप धारण करने की अनुमति देती हैं। नेटवर्क पथ में स्थित राउटर या गेटवे पर, ट्रैफ़िक का निरीक्षण करने की क्षमता एक सामान्य एंडपॉइंट संक्रमण की तुलना में अधिक हानिकारक हो सकती है। व्यापक HTTPS निष्क्रिय अवरोधन (passive interception) से प्रकट होने वाली जानकारी को सीमित करता है, लेकिन लीगेसी प्रबंधन इंटरफ़ेस, औद्योगिक प्रणालियाँ और आंतरिक ऐप्स अभी भी प्लेनटेक्स्ट HTTP का उपयोग कर सकते हैं।

DDoS इंजन अभी भी काम करता है

अतिरिक्त सुविधाओं के बावजूद, Mirai की विरासत बनी हुई है: Fortinet को लीक हुए Mirai कोड के साथ संरचनात्मक रूप से सुसंगत एक DDoS घटक मिला, जो 16 फ्लडिंग तकनीकों — UDP, DNS, TCP SYN, TCP ACK, GRE, fragmented TCP, हाई-पैकेट-रेट फ्लड, और एक कस्टमाइज़ेबल HTTP फ्लड का समर्थन करता है। एज उपकरण उपयोगी हमलावर प्रतिभागी बनते हैं क्योंकि वे हमेशा चालू रहते हैं, उनके पास उच्च अपस्ट्रीम बैंडविड्थ हो सकती है, और एंडपॉइंट डिटेक्शन द्वारा शायद ही कभी उनकी निगरानी की जाती है।

एक इन-बिल्ट एक्सप्लॉइट डिस्पैचर — महत्वपूर्ण चेतावनियों के साथ

नए नमूनों में एक अलग HTTP एक्सप्लॉइट डिस्पैचर होता है, जो संक्रमित होस्ट्स को बॉटनेट फैलाने में भूमिका देता है। इसकी एम्बेडेड तालिका में CVE-2021-36260 (Hikvision कैमरे), CVE-2022-26134 (Atlassian Confluence), CVE-2022-29464 (WSO2), CVE-2022-30525 (Zyxel फायरवॉल), CVE-2023-1389 (TP-Link Archer AX21), CVE-2024-4577 (Windows पर PHP-CGI), CVE-2024-10914 (D-Link NAS), और CVE-2025-1974 (Kubernetes ingress-nginx) के लिए प्रविष्टियाँ शामिल हैं।

महत्वपूर्ण बात यह है कि, एक एम्बेडेड CVE स्ट्रिंग काम करने वाले शोषण (exploitation) का प्रमाण नहीं है। Fortinet को गलत तरीके से लागू की गई प्रविष्टियाँ मिलीं — उदाहरण के लिए, CVE-2023-34362 (MOVEit Transfer खामी) के लिए कोड जिसने इसे रखने के लिए आवश्यक अपलोड अनुक्रम को पूरा किए बिना ही एक अनुमानित वेब-शेल पाथ को हिट करने की कोशिश की। कुछ प्रविष्टियों को उनके देखे गए रूप में गैर-शोषण योग्य के रूप में वर्गीकृत किया गया था। इसमें आर्किटेक्चरल बेमेल भी हैं: CVE-2024-4577 Windows पर PHP-CGI को लक्षित करता है, जबकि Evooo1Bot एक Linux बाइनरी है। रक्षकों को एक दावा किए गए एक्सप्लॉइट मेनू और सत्यापित क्षमता के बीच अंतर करना चाहिए।

एज डिवाइस इतने आकर्षक लक्ष्य क्यों हैं

एक संक्रमित वर्कस्टेशन एंडपॉइंट सुरक्षा द्वारा पकड़ा जाता है, किसी उपयोगकर्ता द्वारा देखा जाता है, या रात में बंद कर दिया जाता है। एक राउटर, कैमरा या औद्योगिक गेटवे से लगातार चलने की उम्मीद की जाती है, अक्सर उसमें बहुत कम स्थानीय निगरानी होती है, और वह सीमित फोरेंसिक पहुंच के साथ एक स्ट्रिप्ड-डाउन Linux चला सकता है। ये सिस्टम रणनीतिक स्थितियों पर भी स्थित होते हैं — विश्वसनीय सार्वजनिक IP, बाहरी और आंतरिक नेटवर्क को जोड़ना, प्रमाणीकरण और प्रबंधन ट्रैफ़िक को संभालना। एक समझौता किया गया फ़ायरवॉल या राउटर एक ही समय में एक प्रवेश बिंदु, एक अवलोकन पोस्ट और एक हमला रिले हो सकता है। Evooo1Bot का प्रसार, रिमोट प्रशासन, इंटरसेप्शन, प्रॉक्सीइंग और DDoS का मिश्रण प्रत्येक कमजोर डिवाइस को एक पुन: प्रयोज्य संपत्ति में बदल देता है जिसे ऑपरेटर मांग पर दोबारा उपयोग कर सकता है।

एक रक्षक (defender) की चेकलिस्ट

• इंटरनेट-सुलभ प्रत्येक चीज़ की सूची बनाएं, और मॉडलों तथा फर्मवेयर की तुलना अभियान के CVEs से करें — लेकिन केवल प्रकाशित सूची तक ही सीमित न रहें, क्योंकि एक्सप्लॉइट कैटलॉग बदलता रहता है।
• रिमोट एडमिन इंटरफ़ेस को अक्षम करें जिसकी आपको आवश्यकता नहीं है; जहाँ रिमोट एक्सेस की आवश्यकता हो, उसे विश्व स्तर पर एक्सपोज़ करने के बजाय VPN, प्रबंधन नेटवर्क या एक सख्त allowlist के पीछे रखें।
• डिफ़ॉल्ट और दोबारा इस्तेमाल किए गए क्रेडेंशियल्स को बदलें, विशेष रूप से SSH और उपकरण-प्रबंधन खातों के लिए।
• अस्पष्ट आउटबाउंड port-443 कनेक्शनों पर नज़र रखें (गंतव्य, प्रमाणपत्र व्यवहार और प्रोटोकॉल की जांच करें — सभी 443 को ब्लॉक करना अव्यावहारिक है), एक TCP 1080 पर अप्रत्याशित लिसनर, हर पाँच मिनट में कुछ डाउनलोड करने वाले cron jobs, संदिग्ध systemd/SysV सेवाएँ, इनमें किए गए बदलाव /etc/rc.local या /etc/profile.d, temp डायरेक्ट्रीज़ में असामान्य एक्ज़ीक्यूटेबल्स, और इसकी उपस्थिति /tmp/.sniff.log.
• से होने वाले कनेक्शनों की जाँच करें 91.92.40[.]118. Fortinet ने दो SHA-256 संकेतक भी प्रकाशित किए: f13cb360768363d3424e2192c7805b8c8015eb8706dbbbcdead6aed8cf390109 और 4c0886349e9d348569fffe1b7a31e474d514508bf0cd6f1e5dd99c2a73525e4d। संकेतकों को जांच के सुराग के रूप में लें, स्थायी नियंत्रणों के रूप में नहीं — हमलावर बाइनरी, होस्टिंग और फ़ाइल नामों को तेज़ी से बदलते रहते हैं।
• यदि कॉम्प्रोमाइज़ की पुष्टि हो जाती है: उपकरण को अलग करें, साक्ष्य एकत्र करें, यह मान लें कि जो भी क्रेडेंशियल्स या सत्र यह देख सकता था वे एक्सपोज़ हो चुके हैं, किसी विश्वसनीय सिस्टम से पासवर्ड बदलें, सक्रिय सत्रों को अमान्य करें, और प्रॉक्सी ट्रैफ़िक व लेटरल मूवमेंट के लिए लॉग्स की समीक्षा करें। असमर्थित हार्डवेयर को बदलें — एक खामी को पैच करने से ऐसा उपकरण ठीक नहीं होता जो अन्य खामियों से भरा हो या जिसे अब अपडेट नहीं मिल रहे हों।

2026 में यह क्यों महत्वपूर्ण है

Evooo1Bot दिखाता है कि Mirai सोर्स लीक एक दशक बाद भी उपयोगी है — लेकिन यह कोई रीसायकल किया गया DDoS ख़तरा नहीं है। Mirai की फ्लडिंग को पर्सिस्टेंस, क्रेडेंशियल इंटरसेप्शन, एक्सप्लॉइट ऑटोमेशन और एक एन्क्रिप्टेड SOCKS5 रिले के साथ जोड़कर, इसके डेवलपर्स ने असुरक्षित Linux एज डिवाइसेस को सीधे हमलों और गुप्त पहुँच दोनों के लिए एक लचीले प्लेटफ़ॉर्म में बदल दिया। रक्षकों (defenders) के लिए सबक यह है कि एक सामान्य राउटर या कैमरा अब कम मूल्य वाला लक्ष्य नहीं रह गया है — यह एक स्थायी, बहुउद्देश्यीय ठिकाना है।

निष्कर्ष

यहाँ सबसे महत्वपूर्ण बदलाव वैचारिक है: एक कॉम्प्रोमाइज़्ड एज डिवाइस केवल एक DDoS ज़ॉम्बी नहीं है, यह पुन: प्रयोज्य आपराधिक इन्फ्रास्ट्रक्चर है — एक प्रवेश बिंदु, एक वायरटैप और एक प्रॉक्सी का संयुक्त रूप। इसके खिलाफ बचाव किसी एक बाइनरी के पीछे भागने से कम और अपने इंटरनेट-फेसिंग अटैक सरफ़ेस को कम करने के बारे में अधिक है: जानें कि क्या एक्सपोज़ है, रिमोट मैनेजमेंट बंद करें, क्रेडेंशियल्स ठीक करें, और ऐसे हार्डवेयर को बदलें जिन्हें अब सुरक्षा अपडेट नहीं मिलते हैं।

सकारात्मक पहलू

• मुख्य इनिशियल-एक्सेस वेक्टर है पुराने, उजागर CVEs — जिसका अर्थ है कि पैचिंग, allowlisting और एंड-ऑफ़-लाइफ़ उपकरणों को हटाना वास्तव में इस खतरे के रास्ते बंद कर देता है।
• Fortinet ने ठोस संकेतक (एक C2 IP और दो फ़ाइल हैश) और तलाश करने के लिए स्पष्ट व्यवहारिक संकेत प्रकाशित किए हैं।
• इस मैलवेयर में वास्तविक कार्यान्वयन खामियाँ हैं — कई एम्बेडेड एक्सप्लॉइट्स काम नहीं करते हैं या आर्किटेक्चरल रूप से मेल नहीं खाते हैं, इसलिए इसका "मेनू" इसकी वास्तविक पहुँच को बढ़ा-चढ़ाकर दिखाता है।
• इसके एंटी-फोरेंसिक्स (Bash हिस्ट्री मिटाना) सतही हैं और प्रचुर मात्रा में अन्य टेलीमेट्री छोड़ जाते हैं।

नकारात्मक पहलू

• यह बहुउद्देश्यीय और पुन: प्रयोज्य है — DDoS, प्रॉक्सिंग, क्रेडेंशियल चोरी और सेल्फ-प्रोपेगेशन एक ही इम्प्लांट में।
• पर्सिस्टेंस कई स्तरों पर है (systemd, हर पाँच मिनट में cron, rc.local, शेल प्रोफ़ाइल), इसलिए आधे-अधूरे उपायों से दोबारा संक्रमण हो जाता है।
• यह SOCKS5 रिले पीड़ितों के विश्वसनीय IPs के माध्यम से हमलों को छुपाता है, जिससे डाउनस्ट्रीम ब्लॉकलिस्टिंग और देयता उत्पन्न होती है।
• यह खोज करता है एंटरप्राइज़ और OT क्रेडेंशियल्स की, न केवल IoT डिफ़ॉल्ट्स की, और यह सक्रिय विकास के दौर में है जिसमें लगातार एक्सप्लॉइट सेट बदल रहे हैं।

सावधानी

यह लेख Fortinet के FortiGuard Labs द्वारा जारी सार्वजनिक रिपोर्ट का सारांश प्रस्तुत करता है और केवल शैक्षिक एवं रक्षात्मक-जागरूकता के उद्देश्यों के लिए है। कोई भी कदम उठाने से पहले Fortinet की आधिकारिक सलाह और वेंडर्स के अपने दिशानिर्देशों के आधार पर CVE प्रयोज्यता, कॉम्प्रामाइज़ के संकेतकों और समाधान के चरणों का सत्यापन करें — विवरण, हैश और इन्फ्रास्ट्रक्चर तेज़ी से बदलते हैं, और मैलवेयर में एम्बेडेड CVE इस बात का प्रमाण नहीं है कि यह आपके सिस्टम का विश्वसनीय रूप से फायदा उठा सकता है। यहाँ दिए गए किसी भी एकल संकेतक को एक स्टैंडअलोन, स्थायी नियंत्रण न मानें।

अक्सर पूछे जाने वाले प्रश्न

• Evooo1Bot क्या है? — लीक हुए Mirai सोर्स कोड पर आंशिक रूप से आधारित एक Linux बॉटनेट, जो इंटरनेट-फेसिंग डिवाइसेस को कॉम्प्रोमाइज़ करता है और उन्हें बहुउद्देश्यीय हमलावर इन्फ्रास्ट्रक्चर में बदल देता है।
• क्या यह नया मैलवेयर है या सिर्फ Mirai? — दोनों। इसका DDoS इंजन Mirai से लिया गया है, लेकिन इसमें एन्क्रिप्टेड C2, पर्सिस्टेंस, एक इंटरैक्टिव शेल, एक SSH स्कैनर, क्रेडेंशियल स्निफिंग और एक SOCKS5 रिले जोड़ा गया है।
• यह डिवाइसेस को कैसे संक्रमित करता है? — राउटर्स, फायरवॉल और कैमरों में वर्षों पुरानी, सार्वजनिक रूप से उजागर कमियों को स्कैन और एक्सप्लॉइट करके — किसी ज़ीरो-डे के ज़रिए नहीं।
• इसे एक सामान्य Mirai बॉटनेट की तुलना में क्या अधिक खतरनाक बनाता है? — SOCKS5 रिले (पीड़ितों के IP के पीछे हमलावरों को छिपाना), क्रेडेंशियल इंटरसेप्शन और लेयर्ड पर्सिस्टेंस।
• SOCKS5 रिले का उपयोग किस लिए किया जाता है? — प्रतिष्ठा (reputation) और धोखाधड़ी नियंत्रणों से बचने के लिए पीड़ित के वैध आवासीय या कॉर्पोरेट IP के माध्यम से हमलों, धोखाधड़ी और स्कैनिंग को रूट करने के लिए।
• क्या यह क्रेडेंशियल्स चुराता है? — हाँ। यह अनएन्क्रिप्टेड HTTP Authorization हेडर और कुकीज़ को स्निफ करता है, और उन्हें इसमें सहेजता है /tmp/.sniff.log.
• मुझे कैसे पता चलेगा कि कोई डिवाइस संक्रमित है? — TCP 1080 पर लिसनर, हर पाँच मिनट में डाउनलोड करने वाले cron jobs, प्रच्छन्न systemd सेवाएँ, rc.local/profile.d में संशोधन, temp-dir में असामान्य बाइनरी फ़ाइलें, /tmp/.sniff.log, और रिपोर्ट किए गए C2 से होने वाले आउटबाउंड कनेक्शनों की तलाश करें।
• मैं इससे कैसे बचाव करूँ? — एक्सपोज़्ड डिवाइसेस को पैच करें या बदलें, रिमोट एडमिन को अक्षम करें, डिफ़ॉल्ट/पुन: उपयोग किए गए क्रेडेंशियल्स को ठीक करें, और कॉम्प्रोमाइज़्ड उपकरणों को फ़ैक्टरी रीसेट या फ़र्मवेयर रीइंस्टॉल करके ठीक करें।

स्रोत और आगे पढ़ने के लिए सामग्री

• मूल विश्लेषण का श्रेय Fortinet FortiGuard Labs — संपूर्ण तकनीकी विवरण और वर्तमान संकेतकों के लिए आधिकारिक FortiGuard थ्रेट रिसर्च एडवाइज़री देखें।

टैग

#security #linux #iot #botnet #mirai #malware #cybersecurity #routers #ddos #threatintel