미라이 변종 ‘Evooo1Bot’, 은닉 기능 추가

미라이 계열 ‘Evooo1Bot’, 인터넷 노출 장비를 은닉형 봇넷으로 전환

• Evooo1Bot은 FortiGuard Labs가 확인한 리눅스 기반 악성코드로, Mirai 계열 DDoS 기능에 암호화 통신과 SOCKS 프록시를 더해 알카텔·넷기어·테슬퀘어 장비를 은닉 거점으로 바꾼다.
• 이 악성코드는 SSH 코드를 찾는 스캐너와 허니팟 회피 기능, 변경되지 않은 기본 접속 정보를 찾는 스니퍼를 함께 쓰며, D-Link·Mitsubishi Electric·Tenda 장비의 취약한 노출면을 파고든다.
• FortiGuard Labs는 Evooo1Bot이 기존 Mirai 파생 악성코드의 기술 기준을 넘어섰다고 평가했으며, 감염된 라우터·방화벽·IP 카메라를 지속적 프록시로 바꿔 내부망 침투와 후속 작전을 숨긴다.
• 연구진은 이 악성코드가 적어도 1개월 동안 활발히 악용됐다고 밝혔고, Mirai 소스가 2016년 공개된 뒤 10년간 변종이 확산했으며, 활동은 북미·남미·유럽·인도·중국·일본에 집중됐다.
• 감염 대상이 라우터·방화벽·IP 카메라 같은 경계 장비라는 점은 국내 네트워크에서도 원격관리 포트와 기본 비밀번호 관리가 허술하면 같은 우회 거점이 재현될 수 있음을 뜻하며, 장비 수명주기 전반의 패치 책임이 커진다.
• 에지 장비가 SOCKS 프록시로 전환되면 공격 출발지가 가려져 국가·민간 침해사고의 추적이 어려워지므로, 인증 없는 기본 계정 차단과 노출 장비 점검을 보안 조달과 사이버 방어 정책의 우선순위로 올려야 한다.

정부는 라우터·카메라·방화벽의 기본 계정 차단, 노출 자산 점검, 패치 이력 제출을 조달 조건에 넣고, 프록시 악용 탐지를 위한 관제 연계를 서둘러야 한다.

주요 용어: 봇넷(대량 감염 장비를 묶은 공격망), SOCKS 프록시(통신 출발지를 숨기는 중계 방식), 허니팟(공격 유인을 위해 둔 미끼 시스템)

출처: The Record