Een nieuw Linux-botnet richt zich op routers en andere apparaten aan de rand van bedrijfsnetwerken. Evooo1Bot kan geïnfecteerde systemen niet alleen inzetten voor DDoS-aanvallen, maar ook gebruiken als proxy voor ander internetverkeer. Daarmee kunnen aanvallers hun activiteiten via het IP-adres van slachtoffers laten verlopen.
Dit meldt BleepingComputer. Onderzoekers van Fortinet volgen de malware sinds juli. Evooo1Bot is gebaseerd op Mirai, maar de makers hebben de bekende botnetcode uitgebreid met verschillende modules. Zo kan de malware inloggegevens onderscheppen, SSH-accounts aanvallen en SOCKS5-verbindingen opzetten.
Bekende kwetsbaarheden als ingang
Voor de eerste besmetting maakt Evooo1Bot gebruik van bestaande kwetsbaarheden in apparaten die rechtstreeks vanaf internet bereikbaar zijn. Fortinet zag aanvallen op apparatuur van onder meer Alcatel, NETGEAR, Tenda, Mitsubishi Electric, Telesquare en D-Link.
Een afzonderlijke exploitmodule vergroot het aantal potentiële doelwitten. Daarin zitten aanvallen op onder andere Hikvision-camera’s, Zyxel-firewalls, TP-Link-routers, D-Link-NAS-systemen, Atlassian Confluence, WSO2-producten, Kubernetes ingress-nginx en PHP-CGI-installaties. Niet alle exploits functioneren volgens Fortinet overigens zoals bedoeld.
Na een succesvolle aanval wordt automatisch een passende versie van de malware opgehaald. De ontwikkelaars hebben twaalf varianten gemaakt voor verschillende processorarchitecturen. Vervolgens wist Evooo1Bot de Bash-geschiedenis om sporen van de besmetting te beperken.
De malware probeert daarnaast nadrukkelijk analyse te voorkomen. Voor uitvoering controleert Evooo1Bot onder meer op virtuele machines, containers, sandboxes, honeypots, debuggers en beveiligingssoftware. Voor communicatie met de C2-infrastructuur wordt versleuteld verkeer over poort 443 gebruikt.
Router wordt proxyserver
Vooral de SOCKS5-functionaliteit maakt Evooo1Bot breder inzetbaar dan een traditioneel DDoS-botnet. Een besmet apparaat kan als tussenstation voor internetverkeer dienen. Kwaadaardige activiteiten lijken daardoor afkomstig van het netwerk van het slachtoffer in plaats van van de aanvaller.
Meerdere proxysessies kunnen gelijktijdig en onafhankelijk van elkaar draaien. Fortinet wijst erop dat een voldoende groot botnet daardoor ook commercieel interessant kan worden voor residential proxy-diensten. Dergelijke netwerken bieden IP-adressen van reguliere internetverbindingen aan als uitgangspunt voor verkeer.
Daarnaast probeert Evooo1Bot credentials uit netwerkverkeer te halen. De malware controleert daarvoor /proc/net/tcp en zoekt onder meer naar HTTP Basic Authentication-gegevens en Cookie-headers. Een SSH-module probeert met 150 combinaties van gebruikersnamen en wachtwoorden toegang tot andere systemen te krijgen.
De oorspronkelijke Mirai-functie is eveneens behouden. Evooo1Bot beschikt over zestien methoden voor DDoS-aanvallen, waaronder SYN-, UDP-, DNS-, ACK- en HTTP-floods.
Eenmaal geïnstalleerd probeert de malware zich via verschillende Linux-mechanismen te handhaven, waaronder systemd, SysV init en rc.local. Een cronjob probeert bovendien iedere vijf minuten opnieuw de malware binnen te halen. Dat maakt het verwijderen van alleen het actieve proces onvoldoende om een besmet apparaat definitief op te schonen.