Evooo1Bot: Neues Linux-Botnetz befällt Router und Edge-Geräte

Sicherheitsexperten von FortiGuard Labs haben ein neues, hochspezialisiertes Linux-Botnetz identifiziert, das seit Juli 2026 aktiv ist. Die unter dem Namen Evooo1Bot bekannte Schadsoftware zielt primär auf Geräte am Netzwerkrand ab, darunter Router, Firewalls und IP-Kameras. Das Ziel der Angreifer ist der Aufbau eines großflächigen Netzwerks für verteilte Denial-of-Service-Angriffe (DDoS) sowie die Etablierung versteckter SOCKS5-Proxy-Strukturen.

Hybrid-Architektur und erweiterte Funktionalitäten

Evooo1Bot basiert technisch auf dem Quellcode der Mirai-Malware, wurde jedoch um signifikante Funktionen erweitert. Nach Erkenntnissen der Sicherheitsforscher kombiniert die Schadsoftware klassische Botnetz-Elemente mit Credential-Sniffing, Mechanismen zur Dateiübertragung und eigenständigen Exploit-Funktionen.

Das Botnetz verfügt über insgesamt 16 verschiedene DDoS-Methoden, zu denen unter anderem UDP-, DNS-, SYN- und GRE-Flooding sowie Angriffe mittels fragmentiertem TCP gehören.

Zusätzlich zur Angriffsfähigkeit fungiert die Malware als SOCKS5-Relay, wobei die Kommunikation standardmäßig über den Port 1080 abgewickelt wird. Diese Funktion ermöglicht es den Hintermännern, ihren eigenen Internetverkehr über die infizierten Geräte umzuleiten und so ihre Spuren zu verschleiern. Ein integrierter Credential-Sniffer ist zudem darauf ausgelegt, HTTP-Basic-Auth-Daten und Cookies von den kompromittierten Systemen zu erfassen.

Angesichts immer komplexerer Bedrohungen durch Botnetze und Datendiebstahl ist ein proaktiver Schutz der eigenen Infrastruktur unerlässlich. Dieser kostenlose Report klärt auf, welche rechtlichen Pflichten und Bedrohungen Unternehmen jetzt kennen müssen. Gratis-E-Book: Cyber-Sicherheitsrisiken für Unternehmen jetzt herunterladen

Breite Zielgruppe und aktive Ausnutzung von Schwachstellen

Das Botnetz nutzt zur Ausbreitung eine Kombination aus bekannten Sicherheitslücken und Brute-Force-Angriffen auf SSH-Dienste. Fortinet bestätigte in diesem Zusammenhang die aktive Ausnutzung von Schwachstellen bei einer Vielzahl von Herstellern. Zu den betroffenen Geräten gehören Produkte von Alcatel, NETGEAR, Tenda, Mitsubishi Electric, Telesquare und D-Link.

Neuere Varianten von Evooo1Bot haben ihr Zielspektrum laut den Analysen erheblich erweitert. Demnach werden nun auch Schwachstellen in Systemen von Hikvision, Zyxel und TP-Link sowie in D-Link NAS-Systemen angegriffen. Auch Software-Infrastrukturen wie Confluence, WSO2, Kubernetes ingress-nginx und PHP-CGI-Umgebungen stehen im Fokus der Angreifer. Der für die Infektion genutzte Loader wird über die Adresse 91.92.40[.]118/wget.sh nachgeladen.

Tarnung und technische Finessen

Um einer Entdeckung durch Sicherheitssysteme zu entgehen, setzt Evooo1Bot auf komplexe Verschlüsselungs- und Evasion-Techniken. Die Kommunikation mit dem Command-and-Control-Server (C2) erfolgt verschlüsselt über Port 443. Dabei kommen Algorithmen wie AES-256-CTR, ChaCha20 und XOR-Verschlüsselungen zum Einsatz.

Vor der vollständigen Installation prüft die Malware das Zielsystem auf das Vorhandensein von Analyse-Tools, Sandboxes, virtuellen Maschinen oder Containern. Zudem verfügt der SSH-Brute-Force-Mechanismus über eine Erkennung für Honeypots. Um Spuren einer Infektion zu verwischen, löscht die Schadsoftware den lokalen Bash-Verlauf der infizierten Systeme.

Wer die Sicherheit seiner geschäftlichen IT ohne hohe Investitionen stärken möchte, findet in diesem Experten-Leitfaden fundierte Strategien zur Abwehr aktueller Cyberbedrohungen. Erfahren Sie im kostenlosen E-Book, wie Sie sich proaktiv absichern, bevor es zu spät ist. Kostenloses E-Book zum Schutz vor Cyberangriffen sichern

Für eine dauerhafte Präsenz auf den Geräten nutzt Evooo1Bot verschiedene Systemdienste wie systemd, SysV und Cron-Jobs. Die Entwickler haben die Malware zudem für eine breite Hardware-Basis optimiert: Es existieren derzeit 12 unterschiedliche Builds, die auf verschiedene CPU-Architekturen zugeschnitten sind. Dies unterstreicht den plattformübergreifenden Ansatz des Botnetzes bei der Infiltration von Linux-basierten Edge-Geräten.

de | wissenschaft | 69958602 |