Das neue Schad-Botnetz Evooo1Bot zielt auf mit dem Internet verbundene Gateway-Geräte ab, darunter Router sowie einige Kameras, Firewalls und Network-Attached-Storage-Geräte, um sie in Knoten zur Weiterleitung des Datenverkehrs über das SOCKS5-Protokoll zu verwandeln. Die auf dem Mirai-Framework basierende Malware kombiniert diese Funktion mit weiteren Fähigkeiten, darunter der Diebstahl von Zugangsdaten, das Scannen von SSH-Diensten und die Durchführung verteilter Denial-of-Service-Angriffe.
Den verfügbaren Informationen zufolge begann die Kampagne spätestens im Juli mit dem Angriff auf Geräte und umfasste Produkte von Alcatel, NETGEAR, Tenda, Mitsubishi Electric, Telesquare und D-Link in verschiedenen Regionen. Forscher von Fortinet erklärten, Evooo1Bot verwende eine DDoS-Angriffs-Engine aus dem durchgesickerten Mirai-Quellcode wieder, erweitere das Framework jedoch um verschlüsselte Kommunikationsfunktionen mit Command-and-Control-Servern, einen Scanner für SSH-Angriffe, ein SOCKS-Relay-Modul, einen Zugangsdaten-Sensor und eine integrierte Sammlung von Exploits.
Angriffe auf verschiedene Produkte und Schwachstellen
Die neuesten Versionen enthalten ein separates Modul zur Ausnutzung von Schwachstellen, das auf Hikvision-Kameras, Atlassian-Confluence-Produkte, Zyxel-Firewalls, TP-Link-Geräte, D-Link-NAS-Geräte, WSO2-Produkte, Kubernetes ingress-nginx und gefährdete PHP-CGI-Installationen abzielt. Die Fortinet-Forscher wiesen jedoch darauf hin, dass einige der eingebetteten Exploits fehlerhaft implementiert wurden, wodurch die Angriffsversuche scheitern.
Bei erfolgreicher Ausnutzung lädt die Malware eine von 12 verfügbaren Versionen der Payload herunter, entsprechend der Prozessorarchitektur des Zielgeräts, und löscht anschließend den Bash-Verlauf, um Spuren des Angriffs zu beseitigen. Außerdem prüft sie vor Beginn ihrer Aktivitäten auf dem infizierten Gerät das Vorhandensein von Debugging-Tools, Sicherheitssoftware, Testumgebungen, Sandboxes, virtuellen Maschinen, Containern und Honeypots.
Weiterleitung des Datenverkehrs und Kontrolle der Geräte
Evooo1Bot stellt Persistenz über systemd, SysV init, Shell-Profildateien und rc.local her, während ein Cron-Job alle fünf Minuten versucht, die Payload erneut herunterzuladen. Die Betreiber des Netzwerks erhalten Zugriff auf eine interaktive Shell zur direkten Steuerung der kompromittierten Systeme sowie Befehle zum Hoch- und Herunterladen von Dateien.
Der Zugangsdaten-Sensor überwacht die Datei /proc/net/tcp und versucht, HTTP-Basic-Authentication-Header und Cookies abzugreifen. Das SOCKS5-Modul unterstützt sowohl den direkten Listening-Modus als auch den Reverse-Relay-Modus. Dadurch können Angreifer schädlichen Datenverkehr verbergen, geografische Beschränkungen umgehen oder versuchen, über die kompromittierten Systeme auf Netzwerke zuzugreifen. Die Relay-Sitzungen arbeiten unabhängig voneinander und können mehrere Sitzungen gleichzeitig öffnen. Dies könnte bei einer weiteren Ausbreitung eine kommerzielle Nutzung des Netzwerks über Residential-Proxy-Dienste ermöglichen.
SSH-Scanning und DDoS-Angriffe
Der SSH-Scanner der Malware verwendet 150 Kombinationen aus Benutzernamen und Passwörtern für auf Unternehmensumgebungen ausgerichtete Konten und führt nach der Anmeldung Prüfungen durch, um Honeypots zu vermeiden. Das von Mirai übernommene DDoS-Modul unterstützt 16 Flooding-Methoden, darunter UDP, DNS, SYN, ACK, GRE und fragmentiertes TCP sowie HTTP-Flooding mit anpassbaren Anfragen.
Um das Risiko dieser Malware zu begrenzen, empfehlen die genannten Richtlinien, die Firmware von IoT-Geräten zu aktualisieren, die standardmäßigen Administrationsdaten zu ersetzen, Fernzugriffsoberflächen zu deaktivieren und Geräte auszutauschen, für die ihre Anbieter keinen Support mehr bereitstellen.