Evooo1Bot verwandelt Linux-Gateways in SOCKS5-Relays für Angriffe und den Diebstahl von Zugangsdaten

Neue Botnetze nehmen exponierte Geräte ins Visier

Evooo1Bot ist ein modulares Linux-Botnetz auf Mirai-Basis, das mindestens seit Juli beobachtet und am 15. August 2026 gemeldet wurde. Die Kampagne zielt auf aus dem Internet erreichbare Gateway-Geräte ab und verwandelt sie in SOCKS5-Relays sowie Plattformen für weitere Angriffe.

Betroffen sind Geräte von mindestens sechs Herstellern: Alcatel, NETGEAR, Tenda, Mitsubishi Electric, Telesquare und D-Link. Die genauen betroffenen Produktversionen wurden nicht veröffentlicht.

Die Infektion nutzt bereits bekannte Schwachstellen in exponierten Geräten aus. Neuere Evooo1Bot-Versionen enthalten außerdem spezifische Module für Angriffe auf Hikvision-Kameras, Atlassian Confluence, Zyxel-Firewalls, TP-Link-Router, D-Link-NAS-Geräte, WSO2-Produkte, Kubernetes ingress-nginx und verwundbare PHP-CGI-Installationen.

Nicht alle Exploits scheinen ordnungsgemäß zu funktionieren. Fortinet zufolge wurden einige fehlerhaft implementiert und führen daher nicht zu einer erfolgreichen Kompromittierung. Ist der Angriff erfolgreich, lädt das Gerät die zur jeweiligen Architektur passende Malware herunter.

Zwölf Builds und eine Persistenzkette

Evooo1Bot liegt in 12 unterschiedlichen Builds vor. Das Sample wählt die zur CPU des kompromittierten Geräts passende Version aus und erhöht dadurch die Wahrscheinlichkeit einer Ausführung auf heterogener Gateway-Hardware.

Vor dem Start sucht die Malware nach Debuggern, Sicherheitswerkzeugen, Sandboxes, virtuellen Maschinen, Containern und Honeypots. Dadurch soll das Risiko einer Analyse reduziert und verhindert werden, dass die Infektion in kontrollierten Umgebungen beobachtet wird.

Die Persistenz kann über verschiedene Linux-Mechanismen eingerichtet werden:

• systemd-Dienste;
• SysV-Init-Skripte;
• Shell-Profile;
• rc.local;
• Cron-Aufgaben.

Der Cronjob versucht, die Payload alle fünf Minuten erneut herunterzuladen. Dadurch kann sich die Malware nach dem Entfernen des Hauptprozesses oder nach einer nur teilweisen Bereinigung wiederherstellen.

Nach Abschluss der Infektion löscht Evooo1Bot die Bash-Historie. So werden Spuren der während des Zugriffs und der Konfiguration des Geräts ausgeführten Befehle reduziert.

Infrastruktur für Proxying, DDoS und missbräuchliche Zugriffe

Das Botnetz behält die aus dem illegal veröffentlichten Mirai-Quellcode abgeleitete DDoS-Angriffslogik bei, ergänzt sie jedoch um umfangreichere Funktionen.

Die Kommunikation mit der Command-and-Control-Infrastruktur wird über Port 443 verschlüsselt. Die Malware bietet außerdem eine interaktive Shell, Befehle zum Hoch- und Herunterladen von Dateien sowie einen SSH-Scanner, der mit 150 auf Unternehmenskonten ausgerichteten Kombinationen aus Benutzernamen und Passwörtern Anmeldeversuche durchführt.

Nach einem erfolgreichen SSH-Login führt der Code Prüfungen auf Honeypots durch. Das Botnetz nutzt daher nicht nur automatisierte Schwachstellen aus, sondern kann sich auch über schwache oder wiederverwendete Zugangsdaten verbreiten.

Die SOCKS5-Komponente arbeitet in zwei Modi:

• direktes Lauschen auf dem kompromittierten Gerät;
• Reverse-Relay zur Infrastruktur des Angreifers.

Die Proxy-Sitzungen sind unabhängig voneinander und können parallel geöffnet werden. Ein infiziertes Gerät kann dadurch Datenverkehr weiterleiten, die Herkunft bösartiger Aktivitäten verschleiern, geografische Beschränkungen umgehen oder den Zugriff auf Netzwerke erleichtern, die vom Gateway aus erreichbar sind.

Fortinet geht davon aus, dass ein deutliches Wachstum des Botnetzes den Betrieb von Residential-Proxy-Diensten unterstützen könnte. In diesem Szenario würden kompromittierte Geräte aus Unternehmen oder Privathaushalten Teil eines monetarisierbaren Netzwerks zur Weiterleitung von Datenverkehr.

Das DDoS-Modul unterstützt 16 Flooding-Techniken, darunter UDP, DNS, SYN, ACK, GRE, fragmentiertes TCP und HTTP. HTTP-Anfragen können individuell angepasst werden, sodass sich der Angriff auf das jeweilige Ziel abstimmen lässt.

Das Risiko für Zugangsdaten und interne Netzwerke

Evooo1Bot enthält ein Credential-Sniffing-Modul, das /proc/net/tcp überwacht. Die Komponente sucht nach HTTP-Basic-Authentication-Headern und Cookies, die über die beobachteten Verbindungen übertragen werden.

Das Risiko beschränkt sich daher nicht auf Bandbreitenverbrauch oder die Nutzung des Geräts als Relay. Abgefangene Zugangsdaten können weitere Zugriffe auf Administrationsoberflächen, interne Anwendungen oder andere Systeme ermöglichen, auf denen Passwörter wiederverwendet werden.

Ein kompromittiertes Gateway kann außerdem zum Ausgangspunkt für Aktivitäten gegen Netzwerke werden, die normalerweise nicht direkt aus dem Internet erreichbar sind. Die Reverse-Relay-Funktion erleichtert die Nutzung des Geräts als Vermittler.

Die Quelle weist Evooo1Bot keinen numerischen Schweregrad zu. Das operative Risiko ist dennoch hoch: Ein und dasselbe Gerät kann gleichzeitig für SSH-Brute-Force, den Diebstahl von Zugangsdaten, DDoS-Angriffe und die Verschleierung des Datenverkehrs eingesetzt werden.

Persistenz und das erneute Herunterladen der Payload alle fünf Minuten erschweren eine unvollständige Bereinigung. Ein Neustart des Geräts oder das Beenden eines einzelnen Prozesses reicht möglicherweise nicht aus.

Maßnahmen für Administratoren

Die wichtigste Maßnahme besteht darin, die Firmware der betroffenen Geräte zu aktualisieren, sofern der Hersteller noch Sicherheitsupdates bereitstellt. Die konkreten anfälligen Versionen wurden nicht veröffentlicht. Administratoren sollten daher die Sicherheitsmeldungen zum installierten Modell prüfen und sich nicht ausschließlich am Markennamen orientieren.

Außerdem sollten sie:

• voreingestellte Administratorkonten und -passwörter ersetzen;
• einzigartige und sichere Passwörter verwenden;
• nicht benötigte Remote-Management-Oberflächen deaktivieren;
• die Administration auf autorisierte Netzwerke oder IP-Adressen beschränken;
• vom Hersteller nicht mehr unterstützte Geräte ersetzen.

Bei der Analyse sollte nach unerwarteten Prozessen oder Diensten sowie nach Änderungen an systemd, SysV Init, rc.local, Shell-Profilen und Crontabs gesucht werden. Besondere Aufmerksamkeit verdient eine wiederholte Download-Aktivität in Abständen von fünf Minuten sowie ungewöhnliche verschlüsselte Verbindungen über Port 443.

Administratoren sollten außerdem Folgendes prüfen:

• unerwarteten SOCKS5-Datenverkehr;
• ausgehende SSH-Verbindungen zu zahlreichen Adressen;
• wiederholte Authentifizierungsversuche;
• vom Gateway erzeugten DDoS-Datenverkehr;
• Zugriffe auf Dateien oder Konfigurationen mit Zugangsdaten;
• möglicherweise offengelegte Cookies oder Basic-Authentication-Header.

Im Fall einer Kompromittierung sollte das Gerät vom Netzwerk isoliert, untersucht und mit vertrauenswürdiger Firmware wiederhergestellt werden. Nach der Bereinigung empfiehlt es sich, die Administratorkonten sowie alle Zugangsdaten zu ändern, die möglicherweise über das Gerät übertragen wurden.

Es ist nicht bekannt, ob Evooo1Bot im KEV-Katalog der CISA enthalten ist. Ebenso liegen kein Aufnahmedatum und keine Frist für die Behebung vor. Frühere aktuelle Einträge desselben Herstellers im Katalog sind ebenfalls nicht angegeben.

Gültige Zugangsdaten bleiben eine Schwachstelle

Ein Kontextfaktor stammt aus dem The Blue Report 2026, das auf 338 Millionen Simulationen in Produktionsumgebungen von Kunden basiert. Dem Bericht zufolge wird ein Angreifer mit gültigen Zugangsdaten nur bei 37 % der Aktionen gestoppt.

Die Zahl misst Evooo1Bot nicht direkt, hilft jedoch bei der Einordnung des Risikos durch das Sniffing-Modul und den SSH-Scanner. Der Schutz des Gateways darf sich daher nicht auf die Suche nach Exploits beschränken, sondern muss auch starke Authentifizierung, Netzwerksegmentierung und die Überwachung nachfolgender Zugriffe nach der ursprünglichen Kompromittierung umfassen.