Ein neues, modulares Linux-Botnetz mit dem Namen Evooo1Bot infiziert seit Juli 2026 gezielt internetfähige Gateway-Geräte und macht diese zu SOCKS5-Verkehrsrelais. Die auf dem Quellcode des Mirai-Botnets basierende Schadsoftware geht weit über reine Proxy-Funktionalität hinaus: Sie stiehlt Zugangsdaten, führt SSH-Brute-Force-Angriffe durch und kann Distributed-Denial-of-Service-Angriffe (DDoS) ausführen. Betroffen sind vor allem Router und IoT-Geräte der Hersteller Alcatel, NETGEAR, Tenda, Mitsubishi Electric, Telesquare und D-Link, wobei die Angreifer bekannte Sicherheitslücken ausnutzen.
Evooo1Bot-Botnetz: Angriffsvektor und Infektionskette
Die Malware nutzt eine Reihe öffentlich bekannter Exploits, um in die Geräte einzudringen. Neuere Builds enthalten ein separates Modul, das gezielt Schwachstellen in Hikvision-Kameras, Atlassian Confluence, Zyxel-Firewalls, TP-Linka-Routern, D-Link-NAS-Systemen, WSO2-Produkten, Kubernetes ingress-nginx sowie unsicheren PHP-CGI-Installationen ausnutzt. Allerdings sind einige dieser Exploits fehlerhaft implementiert, sodass Angriffe häufig scheitern. Gelingt der Einbruch, lädt ein Skript einen von zwölf verfügbaren Malware-Builds herunter, die exakt auf die CPU-Architektur des jeweiligen Geräts abgestimmt sind. Anschließend löscht das Skript die Bash-History, um Spuren der Infektion zu verwischen.
Verschlüsselte Kommunikation und Umgehung von Sicherheitsmechanismen
Evooo1Bot kommuniziert über Port 443 mit seinen Command-and-Control-Servern (C2) und verwendet dabei eine verschlüsselte Verbindung. Vor der eigentlichen Ausführung führt die Malware umfangreiche Prüfungen durch, um Debugger, Sicherheitslösungen, Sandboxen, virtuelle Maschinen, Container und Honeypots zu erkennen. Nur wenn keine dieser Fallen identifiziert wird, startet die Schadsoftware ihre volle Funktionalität.
Module und Fähigkeiten im Detail
Die modulare Architektur von Evooo1Bot erweitert das ursprüngliche Mirai-Framework erheblich. Das DDoS-Modul beherrscht 16 verschiedene Flood-Methoden, darunter UDP-Floods, DNS-Amplification, SYN-Floods, ACK-Floods, GRE-Tunneling, fragmentierte TCP-Pakete und HTTP-Floods mit anpassbaren Anfragen. Daneben existiert ein interaktiver Shell-Zugang, der den Angreifern direkte Kontrolle über infizierte Systeme ermöglicht, sowie Dateitransfer-Kommandos für Uploads und Downloads.
SOCKS5-Relay: Router als unsichtbare Proxy-Knoten
Besonders hervorzuheben ist das SOCKS5-Modul, das sowohl im direkten Listening-Modus als auch im Reverse-Relay-Modus arbeiten kann. Angreifer können damit bösartigen Traffic über die kompromittierten Router leiten, geografische Sperren umgehen oder in interne Netzwerke eindringen. Die Proxy-Sitzungen laufen unabhängig voneinander und können mehrfach gleichzeitig geöffnet werden. Sollte das Botnetz eine ausreichende Größe erreichen, ließe es sich über Residential-Proxy-Dienste monetarisieren.
Credential-Sniffer und SSH-Brute-Force
Ein Credential-Sniffer überwacht die Datei /proc/net/tcpcodecode auf dem infizierten Gerät und versucht, HTTP-Basic-Authentication- und Cookie-Header abzugreifen. Parallel dazu führt das SSH-Scanner-Modul Brute-Force-Angriffe mit 150 verschiedenen Kombinationen aus Benutzernamen und Passwörtern durch, die speziell auf Unternehmenszugänge abzielen. Nach erfolgreichem Login prüft der Scanner, ob es sich um einen Honeypot handelt, und vermeidet so eine Entdeckung.
Persistenzmechanismen und Tarnung
Um auf dem Router dauerhaft präsent zu bleiben, nutzt Evooo1Bot verschiedene Methoden: systemd-Dienste, SysV-Init-Skripte, Einträge in Shell-Profilen sowie den Mechanismus rc.local. Ein Cron-Job versucht zudem alle fünf Minuten, die Schadsoftware erneut herunterzuladen – selbst wenn die ursprüngliche Infektion beseitigt wurde. Diese Redundanz macht die vollständige Entfernung besonders aufwendig.
Schutzmaßnahmen gegen das Evooo1Bot-Botnetz
Um Router und IoT-Geräte vor einer Infektion zu schützen, sollten Nutzer und Administratoren folgende Maßnahmen umsetzen: Halten Sie die Firmware aller Geräte stets auf dem neuesten Stand – insbesondere bei End-of-Life-Modellen, für die kein Hersteller-Support mehr angeboten wird. Ersetzen Sie Standard-Administrationszugänge durch starke, einmalige Passwörter. Deaktivieren Sie Remote-Verwaltungszugänge (z. B. WAN-seitige Admin-Panels), wenn diese nicht zwingend erforderlich sind. Aktivieren Sie nach Möglichkeit Netzwerksegmentierung, um die laterale Bewegung von Angreifern einzuschränken.
Die Entwicklung von Evooo1Bot zeigt, wie klassische Botnet-Malware wie Mirai zunehmend professionalisiert wird. Die Kombination aus Proxy-Funktion, Credential-Diebstahl und DDoS-Fähigkeiten macht die Schadsoftware zu einer vielseitigen Waffe – nicht nur für einzelne Angreifer, sondern auch für organisierte Gruppen, die kompromittierte Router als unsichtbare Infrastruktur für weitere Attacken nutzen. Angesichts der weltweit verbreiteten, ungepatchten Router wird die Bedrohung durch derartige Botnetze voraussichtlich weiter zunehmen. Hersteller und Anwender müssen gleichermaßen in eine proaktive Sicherheitsstrategie investieren, bevor sich die Relais-Knoten unkontrolliert vermehren.
