Nach Angaben von Fortinet FortiGuard Labs nutzt Evooo1Bot bekannte Schwachstellen in öffentlich zugänglichen Geräten, um die Infektionskette zu starten. Eine erfolgreiche Ausnutzung führt zur Ausführung eines Loader-Shell-Skripts mit dem Namen „wget.sh“, das auf dem externen Server „91.92.40[.]118“ liegt. Dieses Skript lädt anschließend die zum Prozessor des Zielgeräts passende Botnetz-Binärdatei nach und löscht danach die Bash-Historie, um Spuren des Angriffs zu beseitigen.
Wird die Binärdatei gestartet, prüft sie zunächst, ob Analysewerkzeuge, Sandboxes oder virtuelle Umgebungen vorhanden sind. Danach baut sie eine verschlüsselte Verbindung zu einem Command-and-Control-Server über Port 443 auf. Laut Fortinet ist die Wahl dieses Ports beabsichtigt, weil sich die Kommunikation dadurch am Netzwerkrand leichter in erwarteten HTTPS-Datenverkehr einfügt. Sobald der Host beim C2-Server registriert ist, wartet die Malware auf weitere Befehle.
Der Funktionsumfang ist dabei breit. Evooo1Bot kann Persistenzmechanismen einrichten, die Binärdatei aktualisieren, den Bot-Prozess beenden, Dateien hoch- und herunterladen und eine interaktive Shell starten. Hinzu kommen Funktionen zum Abfangen von HTTP-Basic-Authorization- und Cookie-Headern, zum Starten eines SSH-Brute-Force-Scanners, zum Auslösen von DDoS-Angriffen über DNS, TCP und UDP sowie ein HTTP-basierter Exploit-Dispatcher, der bekannte Schwachstellen ausnutzt.
Besonders hervor hebt Fortinet die Proxy-Komponente. Sie verwandelt infizierte Router, Firewalls, IP-Kameras oder andere Edge-Geräte in SOCKS5-Proxys. Diese Systeme können die Angreifer dann als Netzwerk-Relais für nachgelagerte Operationen verwenden und so der Erkennung entgehen. Fortinet schreibt, diese Fähigkeit erhöhe den Wert eines infizierten Hosts für Angreifer erheblich. Die IP-Adresse des Opfers könne genutzt werden, um bösartigen Datenverkehr zu verschleiern, geografische Beschränkungen zu umgehen oder über eine bereits kompromittierte Maschine Zugang zu internen Netzen zu erhalten.
In größeren Botnetzen könne dieselbe Funktion nach Einschätzung von Fortinet auch zum Aufbau einer verteilten Proxy-Infrastruktur dienen. Damit ließen sich anonyme Weiterleitungen von Datenverkehr ermöglichen oder die kompromittierte Infrastruktur über Proxy-Dienste für private und Unternehmensanschlüsse monetarisieren.
Das Exploit-Modul von Evooo1Bot unterstützt laut Fortinet Angriffe auf acht Schwachstellen: Hikvision (CVE-2021-36260), Atlassian Confluence (CVE-2022-26134), WSO2 (CVE-2022-29464), Zyxel (CVE-2022-30525), TP-Link (CVE-2023-1389), PHP (CVE-2024-4577), D-Link (CVE-2024-10914) und Kubernetes (CVE-2025-1974).