{"id":49066,"date":"2026-08-15T20:20:26","date_gmt":"2026-08-15T18:20:26","guid":{"rendered":"https:\/\/overcentral.com\/de\/?p=49066"},"modified":"2026-08-15T20:20:26","modified_gmt":"2026-08-15T18:20:26","slug":"evooo1bot-botnetz-router-socks5-proxy","status":"publish","type":"post","link":"https:\/\/overcentral.com\/de\/evooo1bot-botnetz-router-socks5-proxy\/","title":{"rendered":"Evooo1Bot-Botnetz verwandelt Router in SOCKS5-Relais"},"content":{"rendered":"

Ein neues, modulares Linux-Botnetz mit dem Namen Evooo1Bot infiziert seit Juli 2026<\/a> gezielt internetf\u00e4hige Gateway-Ger\u00e4te und macht diese zu SOCKS5-Verkehrsrelais. Die auf dem Quellcode des Mirai-Botnets basierende Schadsoftware geht weit \u00fcber reine Proxy-Funktionalit\u00e4t hinaus: Sie stiehlt Zugangsdaten, f\u00fchrt SSH-Brute-Force-Angriffe durch und kann Distributed-Denial-of-Service-Angriffe (DDoS) ausf\u00fchren. Betroffen sind vor allem Router und IoT-Ger\u00e4te der Hersteller Alcatel, NETGEAR, Tenda, Mitsubishi Electric, Telesquare und D-Link, wobei die Angreifer bekannte Sicherheitsl\u00fccken ausnutzen.<\/p>\n

Evooo1Bot-Botnetz: Angriffsvektor und Infektionskette<\/h2>\n

Die Malware nutzt eine Reihe \u00f6ffentlich bekannter Exploits, um in die Ger\u00e4te einzudringen. Neuere Builds enthalten ein separates Modul, das gezielt Schwachstellen in Hikvision-Kameras, Atlassian Confluence, Zyxel-Firewalls, TP-Link<\/a>a-Routern, D-Link-NAS-Systemen, WSO2-Produkten, Kubernetes ingress-nginx sowie unsicheren PHP-CGI-Installationen ausnutzt. Allerdings sind einige dieser Exploits fehlerhaft implementiert, sodass Angriffe h\u00e4ufig scheitern. Gelingt der Einbruch, l\u00e4dt ein Skript einen von zw\u00f6lf verf\u00fcgbaren Malware-Builds herunter, die exakt auf die CPU-Architektur des jeweiligen Ger\u00e4ts abgestimmt sind. Anschlie\u00dfend l\u00f6scht das Skript die Bash-History, um Spuren der Infektion zu verwischen.<\/p>\n

Verschl\u00fcsselte Kommunikation und Umgehung von Sicherheitsmechanismen<\/h3>\n

Evooo1Bot kommuniziert \u00fcber Port 443 mit seinen Command-and-Control-Servern (C2) und verwendet dabei eine verschl\u00fcsselte Verbindung. Vor der eigentlichen Ausf\u00fchrung f\u00fchrt die Malware umfangreiche Pr\u00fcfungen durch, um Debugger, Sicherheitsl\u00f6sungen, Sandboxen, virtuelle Maschinen, Container und Honeypots zu erkennen. Nur wenn keine dieser Fallen identifiziert wird, startet die Schadsoftware ihre volle Funktionalit\u00e4t.<\/p>\n

Module und F\u00e4higkeiten im Detail<\/h2>\n

Die modulare Architektur von Evooo1Bot erweitert das urspr\u00fcngliche Mirai-Framework erheblich. Das DDoS-Modul beherrscht 16 verschiedene Flood-Methoden, darunter UDP-Floods, DNS-Amplification, SYN-Floods, ACK-Floods, GRE-Tunneling, fragmentierte TCP-Pakete und HTTP-Floods mit anpassbaren Anfragen. Daneben existiert ein interaktiver Shell-Zugang, der den Angreifern direkte Kontrolle \u00fcber infizierte Systeme erm\u00f6glicht, sowie Dateitransfer-Kommandos f\u00fcr Uploads und Downloads.<\/p>\n

SOCKS5-Relay: Router als unsichtbare Proxy-Knoten<\/h3>\n

Besonders hervorzuheben ist das SOCKS5-Modul, das sowohl im direkten Listening-Modus als auch im Reverse-Relay-Modus arbeiten kann. Angreifer k\u00f6nnen damit b\u00f6sartigen Traffic \u00fcber die kompromittierten Router leiten, geografische Sperren umgehen oder in interne Netzwerke eindringen. Die Proxy-Sitzungen laufen unabh\u00e4ngig voneinander und k\u00f6nnen mehrfach gleichzeitig ge\u00f6ffnet werden. Sollte das Botnetz eine ausreichende Gr\u00f6\u00dfe erreichen, lie\u00dfe es sich \u00fcber Residential-Proxy-Dienste monetarisieren.<\/p>\n

Credential-Sniffer und SSH-Brute-Force<\/h3>\n

Ein Credential-Sniffer \u00fcberwacht die Datei \/proc\/net\/tcp<\/code>codecode auf dem infizierten Ger\u00e4t und versucht, HTTP-Basic-Authentication- und Cookie-Header abzugreifen. Parallel dazu f\u00fchrt das SSH-Scanner-Modul Brute-Force-Angriffe mit 150 verschiedenen Kombinationen aus Benutzernamen und Passw\u00f6rtern durch, die speziell auf Unternehmenszug\u00e4nge abzielen. Nach erfolgreichem Login pr\u00fcft der Scanner, ob es sich um einen Honeypot handelt, und vermeidet so eine Entdeckung.<\/p>\n

Persistenzmechanismen und Tarnung<\/h3>\n

Um auf dem Router dauerhaft pr\u00e4sent zu bleiben, nutzt Evooo1Bot verschiedene Methoden: systemd-Dienste, SysV-Init-Skripte, Eintr\u00e4ge in Shell-Profilen sowie den Mechanismus rc.local. Ein Cron-Job versucht zudem alle f\u00fcnf Minuten, die Schadsoftware erneut herunterzuladen \u2013 selbst wenn die urspr\u00fcngliche Infektion beseitigt wurde. Diese Redundanz macht die vollst\u00e4ndige Entfernung besonders aufwendig.<\/p>\n

Schutzma\u00dfnahmen gegen das Evooo1Bot-Botnetz<\/h2>\n

Um Router und IoT-Ger\u00e4te vor einer Infektion zu sch\u00fctzen, sollten Nutzer und Administratoren folgende Ma\u00dfnahmen umsetzen: Halten Sie die Firmware aller Ger\u00e4te stets auf dem neuesten Stand \u2013 insbesondere bei End-of-Life-Modellen, f\u00fcr die kein Hersteller-Support mehr angeboten wird. Ersetzen Sie Standard-Administrationszug\u00e4nge durch starke, einmalige Passw\u00f6rter. Deaktivieren Sie Remote-Verwaltungszug\u00e4nge (z.\u202fB. WAN-seitige Admin-Panels), wenn diese nicht zwingend erforderlich sind. Aktivieren Sie nach M\u00f6glichkeit Netzwerksegmentierung, um die laterale Bewegung von Angreifern einzuschr\u00e4nken.<\/p>\n

Die Entwicklung von Evooo1Bot zeigt, wie klassische Botnet-Malware wie Mirai zunehmend professionalisiert wird. Die Kombination aus Proxy-Funktion, Credential-Diebstahl und DDoS-F\u00e4higkeiten macht die Schadsoftware zu einer vielseitigen Waffe \u2013 nicht nur f\u00fcr einzelne Angreifer, sondern auch f\u00fcr organisierte Gruppen, die kompromittierte Router als unsichtbare Infrastruktur f\u00fcr weitere Attacken nutzen. Angesichts der weltweit verbreiteten, ungepatchten Router wird die Bedrohung durch derartige Botnetze voraussichtlich weiter zunehmen. Hersteller und Anwender m\u00fcssen gleicherma\u00dfen in eine proaktive Sicherheitsstrategie investieren, bevor sich die Relais-Knoten unkontrolliert vermehren.<\/p>\n","protected":false},"excerpt":{"rendered":"

Ein neues, modulares Linux-Botnetz mit dem Namen Evooo1Bot infiziert seit Juli 2026 gezielt internetf\u00e4hige Gateway-Ger\u00e4te und macht diese zu SOCKS5-Verkehrsrelais. Die auf dem Quellcode des Mirai-Botnets basierende Schadsoftware geht weit \u00fcber reine Proxy-Funktionalit\u00e4t hinaus: Sie stiehlt Zugangsdaten, f\u00fchrt SSH-Brute-Force-Angriffe durch und kann Distributed-Denial-of-Service-Angriffe (DDoS) ausf\u00fchren. Betroffen sind vor allem Router und IoT-Ger\u00e4te der Hersteller Alcatel, […]<\/p>\n","protected":false},"author":5,"featured_media":49069,"comment_status":"closed","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"fifu_image_url":"https:\/\/raw.githubusercontent.com\/medeiroslima\/overcentral-images\/main\/images\/ocie_1786818052265.jpg","fifu_image_alt":"Evooo1Bot-Botnetz verwandelt Router in SOCKS5-Relais","footnotes":""},"categories":[6671],"tags":[],"class_list":["post-49066","post","type-post","status-publish","format-standard","has-post-thumbnail","category-scherheit"],"fifu_image_url":"https:\/\/raw.githubusercontent.com\/medeiroslima\/overcentral-images\/main\/images\/ocie_1786818052265.jpg","fifu_image_alt":"Evooo1Bot-Botnetz verwandelt Router in SOCKS5-Relais","_links":{"self":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/49066","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/users\/5"}],"replies":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/comments?post=49066"}],"version-history":[{"count":2,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/49066\/revisions"}],"predecessor-version":[{"id":49068,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/49066\/revisions\/49068"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/media\/49069"}],"wp:attachment":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/media?parent=49066"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/categories?post=49066"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/tags?post=49066"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}