Nach Angaben von Cara Lin, Threat Researcherin bei Fortiguard Labs, handelt es sich bei Evooo1Bot um eine Linux-Botnetzfamilie, die die Mirai-DDoS-Engine in ein „deutlich leistungsfähigeres und modulareres Framework“ integriert. Den Namen gaben die Forscher der Malware, weil in jeder analysierten Binärdatei die fest eincodierte Zeichenfolge „evooo1“ auftauchte. Zwar nutzt Evooo1Bot die DDoS-Engine aus dem öffentlich bekannt gewordenen Mirai-Quellcode weiter, laut Lin dient sie Angreifern aber zugleich als multifunktionale Plattform zur Kompromittierung und Monetarisierung verwundbarer Linux-basierter Geräte.

Als Einstiegspunkte nutzt das Botnetz eine breite Palette ungepatchter Schwachstellen in Internet-erreichbaren Geräten. Im Bericht nennt Fortiguard unter anderem die Kommandoinjektions- und Remote-Code-Execution-Lücken CVE-2007-3010, CVE-2016-6277, CVE-2018-14558, CVE-2019-14931 und CVE-2020-10987. Laut Fortiguard reicht das Spektrum von Schwachstellen aus dem Jahr 2007 bis zu Lücken, die erst im vergangenen Jahr entdeckt wurden. Lin wertet das als Beleg dafür, dass Angreifer keine neuartigen Exploits benötigen, wenn veraltete und ungepatchte Geräte mit alten Schwachstellen weiterhin erreichbar bleiben.

Ist Evooo1Bot einmal installiert, richtet die Malware laut Bericht verschlüsselte Kommando-und-Kontroll-Kommunikation über TCP-Port 442 ein. Für Persistenz und Befehlsausführung nutzt sie mehrere Mechanismen, darunter systemd-Dienste, Cron-Jobs, Shell-Profile und weitere Methoden. Hinzu kommen Routinen, die Analysewerkzeuge, virtualisierte Umgebungen und Honeypots erkennen sollen, bevor der Schadcode weiterarbeitet. Lin bezeichnet diese Kombination als Ausdruck eines hohen Reifegrads und schreibt, diese Fähigkeiten lägen „deutlich über der technischen Grundlinie herkömmlicher, von Mirai abgeleiteter Malware“.

Als besonders wichtig hebt Fortiguard das Reverse-SOCKS-Relay-Modul hervor. Lin nennt diese Funktion „wohl die operativ bedeutendste“ Weiterentwicklung. Sie erlaubt es Angreifern, nachfolgenden Datenverkehr über das Netz des kompromittierten Opfers zu leiten. Laut Lin verwandelt die Malware damit kompromittierte Router, Firewalls, IP-Kameras oder andere Edge-Geräte in dauerhafte Proxys, um die eigene Herkunft zu verschleiern, in interne Netze weiter vorzudringen und weitere Operationen über die Infrastruktur des Opfers auszuführen.

Auch Waseem Ahmed, Engineering-Chef bei Secure.com, beschreibt gegenüber Dark Reading diesen Unterschied zu vielen anderen Mirai-Abkömmlingen. Evooo1Bot beschränke sich nicht darauf, Ziele mit mehr Feuerkraft offline zu nehmen. Stattdessen probiere die Malware per Brute Force SSH-Zugänge mit einer Liste auf Unternehmensumgebungen ausgerichteter Anmeldedaten, nutze zahlreiche bekannte Schwachstellen in Routern, Kameras und Firewalls aus und mache kompromittierte Geräte anschließend zu versteckten SOCKS-Proxys. Gerade dieser letzte Punkt sei aus Sicht von Fortinet zu Recht der bedeutendste.

Ahmed zufolge kann das Botnetz ein kompromittiertes Edge-Gerät damit in vollständige Angreifer-Infrastruktur verwandeln, die den tatsächlichen Standort verbirgt, als Ausgangspunkt für weitere Bewegungen ins Netzwerk dient und an andere Kriminelle als Residential Proxy vermietet werden kann. Zugleich verweist er darauf, dass es sich nicht um primitive Malware handele, da sie vor der Ausführung nach Sandboxes, Debuggern und Honeypots suche.

Fortiguard sieht in Evooo1Bot ein weiteres Beispiel dafür, wie sich Mirai-Spinoffs von vergleichsweise geradlinigen DDoS-Werkzeugen zu vielseitigen Zugriffsplattformen entwickeln. Der Hersteller rät daher insbesondere dazu, exponierte Netzwerkgeräte zu patchen oder zu ersetzen, auch wenn es sich um Altgeräte oder schwer aktualisierbare Systeme handelt. Jacob Krell, Senior Director of Secure AI Solutions & Cybersecurity bei Suzu Labs, betont, das sei besonders wichtig, weil einige der von Evooo1Bot ausgenutzten Schwachstellen fast zwei Jahrzehnte alt seien. Weitere von Fortiguard genannte Hinweise sind nicht autorisierte Cron-Jobs, systemd-Dienste, Init-Skripte und Veränderungen an Shell-Profilen sowie unerklärliche SSH-Aktivitäten und Geräte, die sich unerwartet wie SOCKS- oder Proxy-Endpunkte verhalten.