Evooo1Bot, die neue Mirai-Variante, die Router in Proxy-Server für Angreifer verwandelt

Ein Linux-Botnetz nutzt aus dem Internet erreichbare Geräte aus

Evooo1Bot ist eine neue, aus dem Quellcode des Mirai-Botnetzes hervorgegangene Linux-Variante. FortiGuard Labs meldete die Aktivitäten am 13. August 2026 und beschrieb die Bedrohung als offenbar bislang nicht dokumentiert.

Das Botnetz nutzt ungepatchte Schwachstellen in Routern und anderen Hardwaregeräten aus, die direkt aus dem Internet erreichbar sind. Die Aktivitäten dauern seit mindestens einem Monat an. Wie viele Geräte weltweit kompromittiert wurden, ist jedoch nicht bekannt.

Die Telemetriedaten der Forscher zeigen Verbindungen oder Infektionsversuche in Nord- und Südamerika, Europa, Indien, China und Japan. Die geografische Verteilung deutet auf eine breit angelegte Kampagne hin, lässt allein jedoch keine Rückschlüsse auf die Zahl der Opfer zu.

Betroffen sind Geräte der folgenden Hersteller:

• Alcatel;
• D-Link;
• Mitsubishi Electric;
• Netgear;
• Tenda;
• Telesquare.

Die genauen betroffenen Produktversionen wurden nicht genannt. Ebenso liegen keine CVE-Kennungen oder spezifischen CVSS-Bewertungen für die Aktivitäten von Evooo1Bot vor.

Von DDoS-Angriffen zur operativen Kontrolle der Geräte

Wie viele Mirai-Varianten kann Evooo1Bot infizierte Geräte für DDoS-Angriffe einsetzen. Die Malware verfügt jedoch über zusätzliche Funktionen, die den Wert eines kompromittierten Geräts für die Betreiber deutlich erhöhen.

Die Kommunikation mit der Command-and-Control-Infrastruktur (C2) ist verschlüsselt. Dadurch wird es schwieriger, den Datenaustausch anhand des Datenverkehrsinhalts zu erkennen. Außerdem kann die Analyse durch Monitoring-Tools erschwert werden, die nicht über geeignete Inspektionsfunktionen verfügen.

Die Malware enthält außerdem einen Scanner, der auf SSH-Dienste oder SSH-Code ausgerichtet ist. Damit lassen sich möglicherweise weitere über dieses Protokoll erreichbare Ziele identifizieren, was die Verbreitung oder den Zugriff auf zusätzliche Systeme erleichtert.

Evooo1Bot versucht auch, Honeypots zu erkennen – also Systeme, die speziell eingerichtet wurden, um Angreifer anzulocken und zu beobachten. Durch die Umgehung solcher Umgebungen kann das Botnetz das Risiko einer kontrollierten Analyse seiner Aktivitäten verringern.

Eine weitere Komponente sucht nach Standardzugangsdaten, die auf den Geräten noch aktiv sind. Router, IP-Kameras, Firewalls und Peripheriegeräte, bei denen das anfängliche Passwort nicht geändert wurde, können daher einen zusätzlichen Zugangspunkt bieten.

Die Kombination aus Verschlüsselung, SSH-Scanning, Honeypot-Erkennung und der Suche nach Standardzugangsdaten unterscheidet Evooo1Bot von einfacheren Mirai-Varianten. Es handelt sich nicht nur um ein Netzwerk zum Ausführen schädlichen Datenverkehrs: Die Malware zielt darauf ab, die Geräte diskreter und längerfristig zu kontrollieren.

Die SOCKS-Funktion stellt das größte Risiko dar

Das wichtigste operative Merkmal ist die Unterstützung des SOCKS-Protokolls. Ein kompromittiertes Gerät kann als Proxy konfiguriert werden und Verbindungen der Angreifer zu anderen Servern weiterleiten.

Der Datenverkehr geht dadurch nicht direkt von der Infrastruktur des Angreifers aus. Stattdessen wird er über den Router, die Firewall, die Kamera oder ein anderes Gerät des Opfers geleitet. Für die Zielsysteme kann die Verbindung daher scheinbar von der IP-Adresse der kompromittierten Organisation stammen.

Diese Fähigkeit bietet dem Angreifer mehrere Vorteile. Das Gerät kann dazu verwendet werden, die tatsächliche Herkunft der Aktivitäten zu verschleiern, Dienste zu erreichen, die Verbindungen von dem Peripheriegerät akzeptieren, oder einen Übergangspunkt in interne Netzwerke zu schaffen.

Ein Router oder eine Firewall am Netzwerkrand kann Zugriff auf Ressourcen haben, die nicht öffentlich erreichbar sind. Wird das Gerät dauerhaft in einen Proxy umgewandelt, kann es zur Aufklärung, zur Weiterleitung von Datenverkehr und zur Vorbereitung weiterer Aktivitäten dienen.

Ob jede Infektion für laterale Bewegungen oder den Zugriff auf interne Systeme ausgenutzt wird, ist nicht bekannt. Das Vorhandensein dieser Funktion erhöht jedoch die potenziellen Auswirkungen gegenüber einer ausschließlich auf DDoS beschränkten Kompromittierung.

Warum Edge-Geräte ein attraktives Ziel sind

Die angegriffenen Geräte weisen häufig drei für die Verbreitung eines Botnetzes günstige Eigenschaften auf: Sie sind dauerhaft verbunden, erfüllen wichtige Funktionen und bleiben möglicherweise über längere Zeit exponiert.

Ein verwundbares, aus dem Internet erreichbares Gerät kann angegriffen werden, ohne zuvor einen internen Computer zu kompromittieren. Sind außerdem Standardzugangsdaten vorhanden, steht dem Angreifer selbst nach einer nur teilweise erfolgten Behebung eine zweite Zugriffsmethode zur Verfügung.

Eine Kompromittierung ist möglicherweise schwer zu erkennen. Ein Router oder eine Kamera erfüllt weiterhin seine normale Funktion, führt parallel jedoch Scans durch, unterhält verschlüsselte C2-Kommunikation oder leitet SOCKS-Verbindungen weiter.

Zu den Warnsignalen zählen unerwarteter SSH-Datenverkehr, verschlüsselte Verbindungen zu ungewöhnlichen Zielen und Proxy-Datenströme von Geräten, die eigentlich keine SOCKS-Dienste anbieten sollten. Auch ungewöhnliche Änderungen an DNS-Einstellungen, Firewall-Regeln oder aktiven Prozessen sollten überprüft werden.

Das Ausbleiben einer deutlich spürbaren Verlangsamung schließt eine Infektion nicht aus. Proxy- und Verschleierungsfunktionen können genutzt werden, ohne unmittelbar einen sichtbaren DDoS-Angriff auszulösen.

Die Wiederverwendung von Mirai bringt weiterhin neue Bedrohungen hervor

Der Quellcode von Mirai wurde 2016 veröffentlicht. Seitdem wurde er wiederverwendet, um zahlreiche Varianten zu entwickeln, die an neue Geräte, Zugangsdaten und Schwachstellen angepasst wurden.

Evooo1Bot reiht sich in diese Entwicklung ein, weist jedoch ein stärker auf Persistenz und die Nutzung der kompromittierten Infrastruktur ausgerichtetes Profil auf. Zu den genannten Nachfolgern zählen Aisuru und KimWolf.

Gegen diese beiden Bedrohungen gingen im März Behörden aus den USA, Kanada und Deutschland vor. Im Mai wurde ein kanadischer Mann wegen des mutmaßlichen Betriebs von KimWolf angeklagt.

Diese Fälle zeigen, dass von Mirai abgeleitete Botnetze nicht nur kurzlebige, automatisierte Kampagnen sind. Sie können organisierte Infrastrukturen betreiben, die Aufmerksamkeit der Behörden auf sich ziehen und als Werkzeuge für Proxy-Dienste, verteilte Angriffe und unbefugte Zugriffe dienen.

Ob Evooo1Bot direkt mit Aisuru, KimWolf oder anderen bereits beobachteten Gruppen verbunden ist, ist nicht bekannt.

Was Administratoren tun sollten

Die wichtigste Maßnahme besteht darin, verfügbare Updates der Hersteller der betroffenen Geräte einzuspielen. Da die genauen betroffenen Versionen nicht bekannt gegeben wurden, sollten Administratoren alle in ihrem Inventar vorhandenen Modelle von Alcatel, D-Link, Mitsubishi Electric, Netgear, Tenda und Telesquare überprüfen.

Außerdem müssen die Standardzugangsdaten umgehend ersetzt werden. Dabei sollten für jedes Gerät einzigartige und starke Passwörter verwendet werden. Angesichts der aktiven Suche nach Standardkonten und anfänglichen Passwörtern ist es riskant, die Werkseinstellungen unverändert zu lassen.

Nicht benötigte Administrationsdienste sollten nicht direkt aus dem Internet erreichbar sein. Wenn möglich, sollte der Zugriff über VPNs, Allowlisting, Netzwerksegmentierung und gezielte Firewall-Regeln eingeschränkt werden.

Die Sicherheitsteams sollten Folgendes überwachen:

• SSH-Verbindungsversuche zu ungewöhnlichen Zielen;
• verschlüsselten C2-Datenverkehr von Peripheriegeräten;
• SOCKS-Verbindungen oder nicht autorisiertes Proxy-Verhalten;
• von Routern, Firewalls und Kameras ausgehende Scans;
• unerwartete Änderungen an DNS-, Firewall- und Systemkonfigurationen.

Ein verdächtiges Gerät sollte vom Netzwerk isoliert und gemäß den Unternehmensrichtlinien untersucht werden. Ein einfacher Neustart reicht möglicherweise nicht aus, um eine erneute Kompromittierung auszuschließen – insbesondere dann nicht, wenn die ursprüngliche Ursache, etwa eine exponierte Schwachstelle oder unveränderte Zugangsdaten, weiterhin besteht.

Ob Evooo1Bot in den KEV-Katalog der CISA aufgenommen wurde, ist nicht bekannt. Daher liegen weder ein Aufnahmedatum noch eine konkrete Frist vor, die Bundesbehörden zur Behebung verpflichtet. Die Bedrohung bleibt dennoch für jede Organisation konkret, die verwundbare und direkt aus dem Internet erreichbare Geräte betreibt.