Fortinet zufolge übernimmt Evooo1Bot zwar die DDoS-Engine aus dem öffentlich geleakten Mirai-Quellcode, erweitert das ursprüngliche Gerüst aber deutlich. Die Forscher nennen verschlüsselte C2-Kommunikation, einen SSH-Brute-Force-Scanner, ein SOCKS-Relay-Modul, einen Sniffer für Zugangsdaten und ein integriertes Arsenal zur Ausnutzung mehrerer bekannter Schwachstellen.
Gelingt die Ausnutzung einer Schwachstelle, lädt ein Skript eine von zwölf verfügbaren Malware-Varianten nach, passend zur CPU-Architektur des Zielsystems. Anschließend wird laut Fortinet der Bash-Verlauf gelöscht, um Spuren des Angriffs zu beseitigen. Die Kommunikation mit der Kommandoinfrastruktur erfolgt verschlüsselt über Port 443.
Bevor die Malware auf einem infizierten Gerät startet, prüft sie nach Angaben von Fortinet ausführlich auf Debugger, Sicherheitswerkzeuge, Sandboxes, virtuelle Maschinen, Container und Honeypots. Für Persistenz nutzt Evooo1Bot mehrere Mechanismen gleichzeitig, darunter systemd, SysV init, Shell-Profile und rc.local. Zusätzlich versucht ein Cron-Job alle fünf Minuten, die Schadsoftware erneut nachzuladen.
Ein interaktives Shell-Modul gibt den Betreibern unmittelbare Kontrolle über kompromittierte Systeme. Befehle zur Dateiübertragung erlauben außerdem Hoch- und Herunterladen von Dateien. Hinzu kommt ein Modul zum Mitschneiden von Zugangsdaten, das „/proc/net/tcp“ überwacht und versucht, HTTP-Basic-Authentication- sowie Cookie-Header abzugreifen.
Das SOCKS5-Modul unterstützt sowohl direkt lauschende als auch rückwärts aufgebaute Relay-Modi. Damit können Angreifer schädlichen Datenverkehr verbergen, geografische Beschränkungen umgehen oder möglicherweise über kompromittierte Systeme auf Netzwerke zugreifen. Fortinet weist darauf hin, dass Proxy-Sitzungen unabhängig voneinander laufen und mehrere gleichzeitig geöffnet werden können. Wächst das Botnetz groß genug, sei damit auch eine Monetarisierung über Residential-Proxy-Dienste möglich.
Das SSH-Scanner-Modul arbeitet mit 150 Kombinationen aus Benutzernamen und Passwörtern für unternehmensnahe Konten. Nach einem erfolgreichen Login folgen zusätzliche Prüfungen, um Honeypots zu vermeiden. Für DDoS-Angriffe steht schließlich das von Mirai geerbte Modul bereit, das 16 Flood-Methoden unterstützt, darunter UDP, DNS, SYN, ACK, GRE, fragmentiertes TCP und HTTP-Floods mit anpassbaren Anfragen.
Fortinet betont außerdem, dass einige der eingebetteten Exploits fehlerhaft implementiert sind und deshalb nicht zuverlässig funktionieren. Dennoch zeigt die Malware laut den Forschern eine breite Ausrichtung auf unterschiedliche Gerätetypen und Softwarekomponenten, von Routern und Firewalls bis hin zu NAS-Systemen, Webanwendungen und Kubernetes ingress-nginx.