新たに確認されたLinuxボットネット「Evooo1Bot」が、インターネットに公開された脆弱なルーターやエッジアプライアンス、カメラ、企業システムを標的にしています。Mirai由来のDDoS機能に加え、プロキシ中継、認証情報の窃取、SSHブルートフォース、エクスプロイトによる感染拡大といった機能を兼ね備えています。
FortiGuard Labsは2026年7月からこの活動を観測しており、攻撃者はモジュール式のツールセットを使用して、侵害したデバイスを使い捨てのDDoSノードから、匿名通信の転送やネットワーク侵入の足がかりとして再利用可能なインフラへと格上げしています。
このマルウェアは、暗号化されたコマンド&コントロール通信、多層の文字列保護、アンチ解析チェック、28種類のコマンドに対応したリモート管理インターフェース、ファイル転送機能、対話型シェルアクセス、認証情報スニファー、そして統合された脆弱性エクスプロイト機能を備えています。
今回のキャンペーンは、幅広いエッジデバイスに対するエクスプロイト試行を追跡するIPSテレメトリを通じて特定されました。
観測された攻撃は、Alcatel OmniPCX Enterprise、NETGEARルーター、Tendaルーター、三菱電機のME-RTUシステム、Telesquareデバイス、および複数のD-Link製品の脆弱性を標的としていました。
ペイロードチェーンは一貫して91.92.40[.]118/wget.shにあるローダーを参照しており、これが12種類存在する実行ファイルの中からアーキテクチャに合致するペイロードを選択・実行します。
配信手段にはwget、BusyBox版wget、curl、あるいはフォールバックとしてTFTPが使用され、実行後にはBashの履歴が消去されます。
ダウンロードコマンドに埋め込まれたキャンペーンラベル(-s mitsuやrep.alcatelなど)からは、攻撃者が脆弱性や標的の種類ごとに感染成功率を測定していることがうかがえます。
この運用面での特徴は、無差別なスキャンにとどまらず、データに基づいてエクスプロイトを調整する能動的な取り組みが行われていることを示しています。
FortiGuard Labsは、バイナリ全体に存在するハードコードされた文字列「evooo1」にちなんでこのファミリーを命名しました。DDoSエンジンは公開されているMiraiのソースコードの構造的特徴を保持していますが、Evooo1Botはその基盤を大幅に拡張しています。
Evooo1Botと名付けられたLinuxボットネット
このマルウェアには、Hikvisionカメラ、Zyxelファイアウォール、TP-Link Archerルーター、D-Link NASデバイス、Atlassian Confluence、WSO2製品、PHP-CGI、Kubernetes ingress-nginxなどを標的とする、HTTPベースの独立したエクスプロイトディスパッチャーも搭載されています。
Antivirus& Malware
AESおよびChaCha20の鍵はバイナリ内に直接保存されていません。各鍵は.dataに埋め込まれた32バイトの定数2つに分割され、実行時にXOR演算で結合されます。
Fortinetによると、埋め込まれたエクスプロイトの一部には実装上の不備があり、そのままでは悪用できないものもあるとのことです。
Evooo1Botの中でも最も重大な機能はSOCKS5リレーです。ダイレクトモードでは、通常TCPポート1080でプロキシリスナーを開きます。
リバースモードでは、感染したホストが攻撃者管理下のリレーサーバーへ暗号化されたアウトバウンドセッションを確立し、制御用トラフィックと個々のプロキシセッションを分離します。
この仕組みにより、脅威アクターは侵害デバイス上でリスニングポートを必ずしも公開することなく、被害者の公開IPアドレスを経由して任意のTCPトラフィックをルーティングできます。
その結果、感染したルーターやファイアウォールは、攻撃者の発信元を隠蔽したり、地理的制限を回避したり、後続の侵入拠点として利用されたり、内部資産へのアクセス経路を提供したりする用途に転用される可能性があります。
このボットネットには、/proc/net/tcpを監視してHTTPのBasic認証ヘッダーやCookieヘッダーを取得し、結果を/tmp/.sniff.logに保存する認証情報スニファーモジュールも組み込まれています。SSHスキャナーには150個以上の認証情報が含まれており、jenkins、postgres、oracle、nagios、deployといった企業向けアカウントも対象になっています。
感染拡大を試みる前に、バナー情報の確認とログイン後のチェックを行い、CowrieやKippoといった解析用ハニーポット環境を回避する仕組みも備えています。
妨害行為(DDoS)機能としては、Evooo1BotはUDP、DNS、SYN、ACK、GRE、断片化TCP、HTTPフラッディングなど16種類の手法に対応しています。
永続化機能では、「Apache HTTPD Cache Manager」を装ったsystemdサービス、SysV initスクリプト、cronジョブ、シェルプロファイルへのフック、rc.localエントリなどを仕込むことができます。
さらに、OOMキラーによる強制終了の優先度を下げ、/dev/watchdogを開いたままにすることで、ローカルの復旧処理によって実行が妨げられる可能性を低減しています。
防御側は、外部公開されているネットワーク機器への早急なパッチ適用、サポート終了(EOL)のエッジデバイスの撤去、管理インターフェースへのアクセス制限、デフォルト認証情報のローテーション、そしてルーターやIoTシステムからの予期しないアウトバウンドTLS通信の調査を急ぐべきです。
Fortinetはペイロードの配信元インフラのIPアドレスを91.92.40[.]118とし、このマルウェアをLinux/Agent.BDS!trとして識別しています。関連するIPS、Webフィルタリング、レピュテーション、アンチボットネット対策は、FortiGuardの顧客が利用可能です。
Antivirus& Malware
IOC(侵害指標)
| 指標の種類 | 値 |
|---|---|
| IPアドレス | 91.92.40[.]118 |
| SHA-256 | f13cb360768363d3424e2192c7805b8c8015eb8706dbbbcdead6aed8cf390109 |
| SHA-256 | 4c0886349e9d348569fffe1b7a31e474d514508bf0cd6f1e5dd99c2a73525e4d |
注: IPアドレスとドメインは、誤った名前解決やハイパーリンク化を防ぐため意図的に無効化されています(例: [.])。再有効化はMISP、VirusTotal、SIEMなど管理された脅威インテリジェンスプラットフォーム内でのみ行ってください。
[ライブウェビナー] Elastic&UnderDefenseが主催し、小規模なセキュリティチームがAIの可視化とエージェント型対応を1つの運用モデルに統合する方法を解説します。-> 今すぐ登録
翻訳元: https://gbhackers.com/linux-botnet-dubbed-evooo1bot/
