Evooo1Bot macht Linux-Router zu gefährlichen Proxy-Knoten
21. August 2026
Ein neues Linux-Botnetz nimmt Router und andere Netzwerkgeräte ins Visier. Evooo1Bot kombiniert DDoS-Angriffe mit Proxy-Funktionen und macht infizierte Geräte besonders vielseitig.
Die Schadsoftware basiert auf dem bekannten Mirai-Code. Fortinet beobachtet Evooo1Bot seit Juli und entdeckte zahlreiche zusätzliche Module. Dazu gehören Angriffe auf SSH, Zugangsdaten sowie SOCKS5-Verbindungen für fremden Datenverkehr.
Für die Infektion nutzt Evooo1Bot bekannte Schwachstellen internetseitig erreichbarer Geräte. Betroffen sind unter anderem Geräte von Alcatel, NETGEAR, Tenda, Mitsubishi Electric, Telesquare und D-Link. Weitere Module richten sich gegen Kameras, Firewalls, NAS-Systeme und andere Produkte.
Nach erfolgreicher Infektion lädt die Schadsoftware passende Varianten für unterschiedliche Prozessorarchitekturen. Insgesamt existieren zwölf Varianten. Anschließend wird die Bash-History gelöscht, während Evooo1Bot gleichzeitig nach virtuellen Maschinen, Sandboxes und Sicherheitssoftware sucht.
Besonders gefährlich ist die integrierte SOCKS5-Funktion. Infizierte Geräte können damit Datenverkehr anderer Angreifer weiterleiten. Deren Aktivitäten wirken anschließend, als kämen sie von der IP-Adresse des Opfers.
Evooo1Bot behält außerdem die DDoS-Funktionen von Mirai. Insgesamt stehen sechzehn Angriffsmethoden bereit. Gleichzeitig versucht die Schadsoftware, Netzwerkdaten nach Zugangsdaten zu durchsuchen und weitere Systeme per SSH zu kompromittieren.