Nach Angaben von FortiGuard Labs richtet sich Evooo1Bot gegen Router und andere Hardware von Alcatel, D-Link, Mitsubishi Electric, Netgear, Tenda und Telesquare. Die Linux-basierte Malware nutzt ungepatchte Schwachstellen in internetseitig erreichbaren Geräten aus, um sich weiterzuverbreiten. Die Forscher bezeichnen Evooo1Bot als bislang nicht dokumentiert.

Der Bericht beziffert die Zahl kompromittierter Geräte nicht. FortiGuard Labs sieht in den eigenen Telemetriedaten jedoch eine Konzentration der Aktivitäten in Nordamerika, Südamerika, Europa, Indien, China und Japan.

Technisch baut Evooo1Bot auf dem bekannten Mirai-Botnet-Code auf, erweitert diesen aber deutlich. Neben den für Mirai typischen Funktionen für verteilte Denial-of-Service-Angriffe verfügt die Malware laut FortiGuard Labs über verschlüsselte Kommunikation mit Command-and-Control-Servern. Hinzu kommt ein Scanner, der nach Secure-Shell-Code sucht und Geräte auslässt, die offensichtlich als Honeypots für bösartigen Datenverkehr eingerichtet wurden.

Außerdem enthält Evooo1Bot einen Sniffer, der nach Standard-Zugangsdaten sucht, die seit der Inbetriebnahme eines Geräts nicht geändert wurden. FortiGuard Labs bewertet diese Fähigkeiten als deutlich über dem technischen Grundniveau herkömmlicher Mirai-Abkömmlinge. Wörtlich heißt es, diese Funktionen verorteten Evooo1Bot klar jenseits der technischen Basis konventioneller von Mirai abgeleiteter Schadsoftware.

Besonders hervor hebt FortiGuard Labs den Missbrauch des weit verbreiteten SOCKS-Protokolls, das Verbindungen zu Servern über einen Proxy ermöglicht. Diese Fähigkeit sei „wohl operativ am bedeutendsten“. Nach Einschätzung der Forscher kann die Malware einen kompromittierten Router, eine Firewall, eine IP-Kamera oder ein anderes Randgerät in einen dauerhaften Proxy verwandeln. Dadurch könnten Angreifer ihren tatsächlichen Ursprung verschleiern, in interne Netzwerke weiter vordringen und nachgelagerte Operationen über die Infrastruktur des Opfers durchführen.

Mirai bleibt damit auch Jahre nach der Veröffentlichung seines Quellcodes relevant. Der Code wurde 2016 öffentlich gemacht und diente im Jahrzehnt seitdem als Grundlage zahlreicher Varianten, die Strafverfolger und Cybersicherheitsexperten beschäftigt haben. Im März nahmen Behörden aus den USA, Kanada und Deutschland Nachfahren wie Aisuru und KimWolf ins Visier. Im Mai wurde einem kanadischen Mann vorgeworfen, KimWolf betrieben zu haben.