FortiGuard Labsは、これまで確認されていなかったLinuxボットネット「Evooo1Bot」を発見しました。この名称は、すべてのマルウェア検体に埋め込まれている「evooo1」という文字列に由来します。
この脅威はインターネットに公開されたルーター、ファイアウォール、カメラ、その他のエッジデバイスを標的とし、侵害したシステムをDDoS攻撃、SOCKS5プロキシリレー、認証情報窃取、さらなるネットワーク侵入のためのツールへと変貌させます。
Evooo1Botは、リークされたMirai のソースコードからDDoSエンジンを流用していますが、それに加えてより広範な機能を備えています。
これには、暗号化されたコマンド&コントロール(C2)通信、SSHブルートフォーススキャン、トラフィック傍受、リモートシェルアクセス、ファイル転送、永続化機能、そして既知の脆弱性を狙うエクスプロイトモジュールが含まれます。
FortiGuardのテレメトリによれば、このキャンペーンは2026年7月から活動していることが判明しています。研究者らは、91.92.40[.]118/wget.shからペイロードをダウンロードするエクスプロイト試行を確認しました。
このスクリプトは、標的デバイスのCPUアーキテクチャを検出し、該当するLinuxバイナリをダウンロードして実行権限を付与した上で実行します。また、感染後にはBashの履歴を消去し、証拠を減らします。
このボットネットは、ネットワーク製品に影響する新旧複数の脆弱性を標的としています。確認された標的にはAlcatel OmniPCX、NETGEARルーター、Tendaルーター、三菱電機のデバイス、Telesquare製品、複数のD-Linkモデルが含まれます。
ダウンロードコマンド内のキャンペーンラベルから、攻撃者が脆弱性やデバイスの種類ごとに感染成功状況を監視していることがうかがえます。
Evooo1Botは複数の保護層を用いて、バイナリ内の文字列や動作の詳細を隠蔽しています。設定データはAES、ChaCha20、そしてXORベースのルーチンで暗号化されます。
暗号鍵は複数のデータブロックに分割され、マルウェアの実行中にのみ再構築される仕組みです。
C2サーバーに接続する前に、Evooo1Botは自身が解析されている兆候がないかを確認します。GDB、Wireshark、tcpdump、IDA、Ghidra、YARA、Valgrindといったツールの有無をチェックします。
さらに、VMware、VirtualBox、QEMU、Docker類似環境、マルウェア解析プラットフォームに関連するサンドボックス、仮想マシン、コンテナの痕跡も探索します。
これらのチェックを通過すると、ボットはTCPポート443経由でC2インフラに接続します。この一般的なHTTPSポートを使うことで、そのトラフィックを通常の暗号化されたネットワーク通信に紛れ込ませやすくしていると考えられます。
このマルウェアは、システム情報の収集、プロセスの終了、自己更新、ファイルのアップロード・ダウンロード、対話型シェルアクセスといったリモートコマンドに対応しています。攻撃者向けに疑似端末を確立し、バックグラウンドでコマンドを実行することも可能です。
永続化モジュールは、複数の起動方法を一度にインストールします。これには、「Apache HTTPD Cache Manager」と偽装した偽systemdサービス、SysV initスクリプト、cronジョブ、シェルプロファイルの改変、rc.localの変更が含まれます。
また、このボットはOOM Killer(メモリ不足時のプロセス強制終了機構)のスコアを調整したり、ウォッチドッグデバイスを開いたままにしたりすることで、リソース逼迫時にも生き残ろうとするとFortinetは述べています。
注記: IPアドレスおよびドメインは、誤って名前解決やハイパーリンク化されるのを防ぐため、意図的に無害化表記(例: [.])にしています。再度有効な形式に戻す場合は、MISP、VirusTotal、SIEMなど管理された脅威インテリジェンス基盤内でのみ行ってください。
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をより迅速に。フィッシングの可視性を完全に高め、SOCを強化しMTTRを短縮しましょう
翻訳元: https://cyberpress.org/evooo1bot-hijacks-network-defenses/
