Cybersecurity-Teams haben eine bislang nicht dokumentierte Linux-Botnet-Familie identifiziert: Evooo1Bot Linux-Botnetz. Die Schadsoftware basiert auf Code, der ursprünglich mit dem Mirai-Botnetz in Verbindung gebracht wurde, erweitert das Grundgerüst jedoch um deutlich mehr Funktionen. Besonders kritisch: Die Angreifer können internetfähige Endgeräte in SOCKS5-Proxys verwandeln – und damit Folgeaktivitäten besser verschleiern.
Die Experten berichten zudem, dass das Botnetz bereits seit Juli 2026 in der Praxis aktiv sein soll. Dabei setzt es auf Schwachstellen, die in öffentlich zugänglichen Systemen entdeckt wurden. Welche Schritte typische Angriffe auslösen und warum die Proxy-Komponente so wertvoll ist, lesen Sie hier.
Was ist das Evooo1Bot Linux-Botnetz?
Evooo1Bot Linux-Botnetz nutzt laut den vorliegenden Analysen eine DDoS-Komponente aus dem geleakten Mirai-Quellcode. Ergänzend übernimmt die Malware weitere Module, die für moderne Botnetze charakteristisch sind – und die Angriffsmöglichkeiten spürbar ausweiten.
Zu den beschriebenen Fähigkeiten gehören unter anderem:
- Verschlüsselte C2-Kommunikation (Command & Control) über einen festgelegten Kommunikationsweg
- SSH-Brute-Force-Scanning zur weiteren Ausbreitung
- SOCKS-Relay-Modul zur Umwandlung infizierter Geräte in Proxy-Relais
- Credential Sniffing zum Abgreifen von Zugangsdaten
- Eingebautes Exploit-Arsenal für mehrere bekannte Schwachstellen
Für Betreiber bedeutet das: Das Botnetz ist nicht nur „angreifbar“, sondern kann sich selbstständig weiterentwickeln und kompromittierte Systeme für unterschiedliche Ziele verwenden.
Wie wird Evooo1Bot auf Edge-Geräte eingeschleust?
Die bisherigen Hinweise deuten darauf hin, dass das Botnetz gezielt auf Geräte mit bekannten Lücken zugreift. Dabei werden Schwachstellen in Produkten genutzt, die öffentlich erreichbar sind – etwa Router, Sicherheitsgeräte oder andere internetnahe Systeme.
Unter den im Bericht genannten Fällen finden sich mehrere CVEs (Common Vulnerabilities and Exposures), darunter:
- CVE-2007-3010 (Alcatel OmniPCX Enterprise) – Remote Code Execution
- CVE-2016-6277 (NETGEAR Multiple Routers) – Remote Code Execution
- CVE-2018-14558 (Tenda AC7/AC9/AC10) – Command Injection
- CVE-2019-14931 (Mitsubishi Electric ME-RTU / INEA ME-RTU) – Remote Command Injection
- CVE-2020-10987 (Tenda AC1900 / AC15) – Remote Code Execution
- CVE-2021-46422 (Telesquare SDT-CW3B1) – Command Injection
- CVE-2022-37055 (D-Link Router) – Buffer Overflow
- CVE-2024-29269 (Telesquare TLR-2005KSH) – Command Injection
- CVE-2025-10123 (D-Link DIR-823X) – Command Injection
- CVE-2025-55583 (D-Link DIR-868L B1) – Command Injection
Nach erfolgreicher Ausnutzung startet der Angriff laut den Forschern einen Loader-Skriptaufruf. Ein Shell-Skript namens wget.sh wird von einem externen Server bezogen. Anschließend lädt es eine Botnet-Binary, die zur CPU-Architektur des Geräts passt.
Ein weiterer Hinweis: Das Skript soll danach die Bash-Historie bereinigen, um Spuren der Aktivität zu verwischen.
Erkennung von Analyseumgebungen und verschlüsselte Steuerung
Wenn die Binary ausgeführt wird, prüft sie zunächst, ob typische Analyse-Tools, Sandbox-Umgebungen oder virtuelle Umgebungen vorhanden sind. Ziel ist es, Laufumgebungen zu erkennen, in denen das Verhalten der Malware genauer untersucht werden könnte.
Danach richtet das Botnetz die Verbindung zu seinem zentralen Steuerungsserver ein. Die Kommunikation erfolgt verschlüsselt über Port 443. Die Wahl ist naheliegend: Da 443 in der Praxis stark mit HTTPS-Datenverkehr verbunden ist, kann die Verbindung am Netzwerkrand leichter „wie normale“ TLS-Verbindungen wirken.
Ist das Gerät beim C2-Server registriert, wartet die Malware auf weitere Befehle.
Welche Kommandos unterstützt das Evooo1Bot Linux-Botnetz?
Das Botnetz ist nicht auf ein einzelnes Ziel beschränkt. Laut den gesammelten Informationen kann ein Operator unterschiedliche Aktionen ausführen. Dazu gehören beispielsweise:
- Persistence-Mechanismen installieren, um die Wiederkehr der Malware zu sichern
- Die Binary aktualisieren
- Den Bot beenden
- Dateien hoch- und herunterladen
- Eine interaktive Shell starten
- HTTP Basic Authorization und Cookie-Header abfangen
- Den Host als Proxy-Knoten nutzen
- SSH-Brute-Force-Scans auslösen
- DDoS-Angriffe über DNS, TCP und UDP starten
- einen HTTP-basierten Exploit-Dispatcher anstoßen
Das integriert außerdem einen CVE-Angriffsteil, der Exploits für mehrere konkrete Schwachstellen ausführen kann. Genannt werden dabei unter anderem Lücken in Hikvision, Atlassian Confluence, WSO2, Zyxel, TP-Link, PHP, D-Link sowie Kubernetes.
Warum sind die Proxy-Funktionen besonders gefährlich?
Der zentrale Punkt des Berichts liegt in der Proxy-Komponente. Die Malware kann den kompromittierten Host – etwa einen Router, eine Firewall oder sogar eine IP-Kamera – in einen SOCKS5-Proxy umwandeln. Dieser Proxy kann anschließend als Netzwerk-Relay für weitere Aktionen dienen.
Fortinet beschreibt die Auswirkung so: Die IP-Adresse des Opfers kann helfen, bösartigen Verkehr besser zu tarnen. Dadurch lassen sich geografische Einschränkungen umgehen oder Zugriffe auf interne Netze ermöglichen – und zwar über eine Maschine, die bereits kompromittiert ist.
In größeren Botnetzen kann dieselbe Funktion darüber hinaus den Aufbau einer verteilten Proxy-Infrastruktur unterstützen. Das kann zum Weiterleiten „anonymen“ Traffics genutzt werden oder für die Monetarisierung über Proxy-Dienste dienen.
Welche Schadwirkung ist zu erwarten?
Wenn ein Gerät im Rahmen von Evooo1Bot Linux-Botnetz kompromittiert wird, ist das nicht automatisch nur ein einzelner Vorfall. Durch die Kombination aus Exploit-Fähigkeit, Steuerung über C2, Dateihandling, Shell-Zugriff und Proxy-Relaying kann die Angreiferseite das Szenario schnell ausbauen.
Praktisch bedeutet das:
- Verfügbarkeit: DDoS-Fähigkeiten können Traffic-Fluten auslösen.
- Vertraulichkeit: Das Abgreifen von Auth- und Cookie-Daten kann zu Account-Übernahmen beitragen.
- Integrität: Persistence und Updates ermöglichen das langfristige Nutzen des Zugriffs.
- Transparenz: Proxy-Relays erschweren die Zuordnung von Angriffen zu einer einzelnen Herkunftsadresse.
Damit steigt der Aufwand, nur durch reine Blocklisten die Lage zu beherrschen. Vielmehr braucht es eine Kombination aus Patch-Management, Härtung und Monitoring.
Was können Betreiber jetzt tun?
Der Bericht zeigt vor allem ein wiederkehrendes Muster: bekannte Schwachstellen werden aktiv ausgenutzt. Deshalb sollten Organisationen ihre Gerätepriorisierung an folgenden Punkten ausrichten:
- Firmware und Software zeitnah aktualisieren, insbesondere für internetnahe Router, Gateways und Edge-Komponenten.
- Zugangsbeschränkungen prüfen: Wenn SSH oder Web-Dienste nicht zwingend öffentlich erreichbar sein müssen, sollten sie restriktiver betrieben werden.
- Logs und Netzwerkverbindungen überwachen, besonders bei ungewöhnlichem Verhalten rund um ausgehenden Traffic über TLS-typische Ports wie 443.
- Konten und Authentifizierung absichern, da das Botnetz mit Credential- und Header-Abgriffen in Verbindung gebracht wird.
- Systeme auf verdächtige Proxy-Funktionen untersuchen, wenn Router oder Sicherheitsgeräte plötzlich ungewöhnlich „weiterleitend“ wirken.
Je schneller Schwachstellen geschlossen werden, desto geringer ist die Angriffsfläche – und desto schwieriger wird es für ein Botnetz, neue Knoten aufzubauen.
Fazit
Evooo1Bot Linux-Botnetz zeigt, wie aus kompromittierten Edge-Geräten ein vielseitiges Werkzeug entstehen kann. Das Botnetz kombiniert die Ausnutzung bekannter CVEs, verschlüsselte C2-Kommunikation über Port 443 und zahlreiche Operator-Kommandos. Besonders alarmierend ist die Fähigkeit, betroffene Systeme in SOCKS5-Proxys zu verwandeln – wodurch Angriffe verschleierter werden und sich Folgeoperationen besser umsetzen lassen.
Für Betreiber ist das wichtigste Signal klar: Edge-Geräte müssen konsequent gepatcht und gehärtet werden, bevor Angreifer über öffentlich erreichbare Schwachstellen in die Systeme eindringen.
Quelle: https://thehackernews.com/2026/08/evooo1bot-linux-botnet-exploits-known.html
