Thought Leadership
Fortinet hat das neue Linux-Botnetz Evooo1Bot entdeckt, das Gateway-Geräte in SOCKS5-Relay-Knoten verwandelt und zusätzlich Daten stiehlt.
Seit mindestens Juli greift Evooo1Bot über bekannte Schwachstellen gezielt Geräte der Hersteller Alcatel, Netgear, Tenda, Mitsubishi Electric, Telesquare und D-Link in verschiedenen Weltregionen an. Fortinet-Forscher erklärten dazu:
„Zwar nutzt die Schadsoftware die DDoS-Engine aus dem öffentlich geleakten Mirai-Quellcode weiter, erweitert das ursprüngliche Framework jedoch um zahlreiche Fähigkeiten, darunter verschlüsselte C2-Kommunikation, einen SSH-Bruteforce-Scanner, ein SOCKS-Relay-Modul, einen Zugangsdaten-Sniffer sowie ein integriertes Arsenal an Exploits gegen mehrere bekannte Schwachstellen.“
Fortinet
Neuere Programmversionen enthalten zusätzlich ein separates Modul zur Ausnutzung von Schwachstellen in Hikvision-Kameras, Atlassian Confluence, Zyxel-Firewalls, TP-Link-Routern, D-Link-NAS-Systemen, WSO2-Produkten, Kubernetes Ingress-NGINX sowie anfälligen PHP-CGI-Installationen, wobei Fortinet anmerkt, dass einige der eingebauten Exploits fehlerhaft implementiert sind und deshalb scheitern.
Gelingt eine Ausnutzung, lädt ein Skript eine von zwölf verfügbaren, zur jeweiligen Prozessorarchitektur passenden Schadsoftware-Versionen herunter und löscht anschließend die Bash-Historie, um Spuren des Angriffs zu verwischen. Evooo1Bot kommuniziert dabei verschlüsselt über Port 443 und prüft vor dem eigentlichen Start ausführlich auf Debugger, Sicherheitswerkzeuge, Sandboxes, virtuelle Maschinen, Container und Honeypots. Für dauerhaften Zugriff nutzt die Schadsoftware Systemd, SysV Init, Shell-Profile sowie rc.local, ein Cron-Job versucht zudem alle fünf Minuten, die eigentliche Schadsoftware erneut nachzuladen.
Proxy-Funktion als mögliches Geschäftsmodell
Über eine interaktive Shell erhalten die Betreiber direkten Zugriff auf kompromittierte Systeme, ergänzt um Befehle zum Hoch- und Herunterladen von Dateien. Ein eigenes Zugangsdaten-Sniffer-Modul überwacht zudem die Datei /proc/net/tcp und versucht, HTTP-Basic-Authentication- sowie Cookie-Header abzufangen. Das SOCKS5-Modul unterstützt sowohl direktes Lauschen als auch einen Reverse-Relay-Modus, wodurch Angreifer schädlichen Datenverkehr verschleiern, geografische Beschränkungen umgehen oder über kompromittierte Systeme potenziell in fremde Netzwerke gelangen können. Nach Angaben von Fortinet laufen einzelne Proxy-Sitzungen unabhängig voneinander, mehrere lassen sich gleichzeitig öffnen, was bei ausreichender Größe des Botnetzes eine Vermarktung über Residential-Proxy-Dienste ermöglichen würde.
Das SSH-Scanner-Modul testet dabei 150 auf Unternehmensumgebungen zugeschnittene Nutzername-Passwort-Kombinationen und prüft nach einer erfolgreichen Anmeldung zusätzlich, ob es sich um einen Honeypot handelt. Das von Mirai geerbte DDoS-Modul unterstützt insgesamt 16 verschiedene Angriffsmethoden, darunter UDP-, DNS-, SYN-, ACK- und GRE-Fluten, fragmentierte TCP-Pakete sowie einen HTTP-Flood mit frei konfigurierbaren Anfragen.
Empfohlene Schutzmaßnahmen für Linux
Zum Schutz vor derartigen Botnetzen empfiehlt Fortinet, die Firmware von IoT-Geräten stets aktuell zu halten, werkseitig vergebene Administrator-Zugangsdaten zu ersetzen, Fernzugriffsoberflächen zu deaktivieren sowie Geräte auszutauschen, sobald der jeweilige Hersteller keinen Support mehr dafür anbietet.
(red)
