Am 13. August haben die FortiGuard Labs von Fortinet die Analyse eines Botnetzes veröffentlicht, das seit mindestens Juli läuft. Es heisst Evooo1Bot, baut auf dem alten Mirai-Quellcode auf und befällt Linux-Geräte am Rand des Netzes: Router, Firewalls, IP-Kameras, NAS-Systeme, industrielle Steuergeräte.
Bis hierhin wäre das eine Meldung unter vielen. Interessant wird sie durch das, was diese Schadsoftware nicht tut.
Kein Lösegeld, keine Verschlüsselung
Ransomware macht sich bemerkbar. Sie muss es — das Geschäftsmodell besteht darin, dass das Opfer den Schaden sieht und zahlt.
Evooo1Bot arbeitet genau umgekehrt. Das wichtigste Modul ist ein SOCKS5-Relay. Übersetzt: Das gekaperte Gerät wird zum Durchgangspunkt. Fremder Datenverkehr läuft hinein, verlässt das Gerät wieder und erscheint im Internet mit Ihrer IP-Adresse.
Fortinet weist darauf hin, dass sich ein Botnetz dieser Bauart bei ausreichender Grösse als sogenannter Residential-Proxy-Dienst vermarkten lässt — als Netz aus Privat- und Geschäftsanschlüssen, durch die sich Verkehr leiten lässt. Solche Zugänge werden verkauft. Wer sie mietet, will in aller Regel genau das, was von einer Rechenzentrums-Adresse aus sofort auffliegen würde.
Ihr Anschluss wird also nicht ausgeraubt. Er wird vermietet.
Warum das ein Unternehmen trifft, das nichts verloren hat
Der Schaden entsteht, ohne dass eine einzige Datei fehlt:
E-Mails kommen nicht mehr an. Empfangende Mailserver prüfen die absendende IP-Adresse gegen Sperrlisten. Steht sie dort, weil über sie Spam oder Angriffe liefen, landet die Offerte im Spam-Ordner oder wird gleich abgewiesen.
Dienste sperren aus. Plötzlich überall Sicherheitsabfragen, Warnhinweise, abgelehnte Anmeldungen — weil die Adresse als auffällig geführt wird.
Die Leitung wird langsamer. Fremder Verkehr braucht Bandbreite, besonders wenn das Gerät zusätzlich an einem der 16 eingebauten DDoS-Angriffsverfahren beteiligt wird.
Und der unangenehmste Punkt: Führen Ermittlungen zu einer Straftat auf diese IP-Adresse, führen sie zum Anschlussinhaber. Also zu Ihnen.
Das ist der Grund, warum wir darüber schreiben. Wenn uns jemand meldet, die eigenen Mails kämen nicht mehr durch, ist die Ursache meistens harmlos: ein DNS-Eintrag, eine Absenderprüfung, ein überfülltes Postfach. Sie kann aber auch hier liegen. Dann sitzt sie nicht auf dem Server, sondern im Büro — und niemand sucht sie dort.
Es braucht dafür keine neue Lücke
Für den Ersteinstieg nutzt Evooo1Bot zehn bekannte Schwachstellen. Nach Alter sortiert:
CVE-2007-3010 — Alcatel OmniPCX Enterprise
CVE-2016-6277 — NETGEAR-Router
CVE-2018-14558 — Tenda AC7, AC9, AC10
CVE-2019-14931 — Mitsubishi Electric ME-RTU
CVE-2020-10987 — Tenda AC15 und AC1900
CVE-2021-46422 — Telesquare SDT-CW3B1
CVE-2022-37055 — D-Link-Router
CVE-2024-29269 — Telesquare TLR-2005KSH
CVE-2025-10123 — D-Link DIR-823X
CVE-2025-55583 — D-Link DIR-868L B1
Die älteste stammt aus dem Jahr 2007. Sie ist neunzehn Jahre alt. Fünf der zehn sind älter als fünf Jahre, sieben älter als zwei. Für praktisch alle diese Geräte gibt es längst Firmware, die das behebt.
Das Botnetz nutzt also nicht, was neu ist. Es nutzt, was niemand geschlossen hat.
Und dafür gibt es einen banalen Grund: Für den Server ist jemand zuständig, für die Website auch. Für den Router, den vor sechs Jahren ein Techniker angeschlossen hat und der seither tut, was er soll, ist es meistens niemand. Er fällt nicht aus. Also fällt er nicht auf.
Ein zweites Arsenal für Geschäftssoftware
Ist ein Gerät übernommen, lädt die Software ein Modul nach, das im erreichbaren Netz gezielt weitersucht. Es zielt auf Hikvision-Kameras, Atlassian Confluence, Zyxel-Firewalls, TP-Link-Router, D-Link-NAS-Systeme, WSO2-Produkte, Kubernetes Ingress-NGINX und auf PHP im CGI-Betrieb.
Der letzte Punkt ist der, bei dem wir als Hoster Auskunft geben müssen.
Was das für unsere Server bedeutet
Die genutzte PHP-Lücke ist CVE-2024-4577. Sie betrifft PHP im CGI-Betrieb ausschliesslich unter Windows: Ursache ist eine Windows-Eigenheit bei der Zeichenumwandlung, ausnutzbar nur bei bestimmten Systemsprachen. Auf Linux existiert dieser Weg nicht.
Wir haben das für unsere Umgebung nachgesehen, statt es anzunehmen: Unsere Server laufen unter Linux, die Websites über nginx mit PHP-FPM. Kein Windows, kein CGI-Betrieb. Diese Lücke greift dort nicht.
Und ebenso deutlich das andere: Den Router in Ihrem Büro, die Firewall, das NAS und die Kamera an der Eingangstür betreiben wir nicht. Dort können wir keine Sicherheit zusagen, weil wir sie nicht herstellen. Was wir tun können, ist zu sagen, worauf zu achten ist.
Was zu tun ist
Vier Punkte, alle unspektakulär, alle wirksam:
Aufschreiben, was überhaupt am Netz hängt. Router, Firewall, NAS, Kameras, Drucker, die Fernwartungsschnittstelle der Telefonanlage. Was man nicht auf einer Liste hat, aktualisiert man auch nicht.
Fernzugriff abschalten, wo er nicht gebraucht wird. Die Verwaltungsoberfläche eines Routers muss nicht aus dem Internet erreichbar sein. Das ist die wirksamste einzelne Massnahme, und sie kostet nichts. Warum ausgerechnet die Geräte am Netzrand so beliebt sind, steht in unserem Beitrag vom 19. August.
Werkseitige Zugangsdaten ersetzen. Der eingebaute SSH-Scanner probiert über 150 Kombinationen durch. Darunter sind nicht nur die bekannten Standardpasswörter von Geräten, sondern auch Dienstkonten wie jenkins, postgres, oracle, nagios und deploy.
Geräte ohne Herstellerunterstützung ersetzen. Bekommt ein Gerät keine Firmware mehr, lässt sich die Lücke nicht schliessen. Dann bleibt nur der Austausch — unangenehm, aber ehrlicher als die Hoffnung, dass es schon niemand versuchen wird.
Woran man ein befallenes Gerät erkennt
Falls Sie selbst nachsehen können oder jemanden haben, der es kann — das sind die Spuren, die Fortinet beschreibt:
Ein Cron-Eintrag, der alle fünf Minuten ein Skript aus dem Netz lädt und ausführt.
Ein systemd-Dienst mit der Bezeichnung «Apache HTTPD Cache Manager» — auf einem Gerät, auf dem gar kein Apache läuft.
Neue Einträge in /etc/rc.local und unter /etc/profile.d/.
Ein Startskript unter /etc/init.d.
Ausgehende verschlüsselte Verbindungen über Port 443 zur Adresse 91.92.40[.]118.
Erwarten Sie dabei keine offensichtlichen Spuren. Die Software prüft vor dem Start auf Analysewerkzeuge und virtuelle Umgebungen, löscht anschliessend die Kommandozeilen-Historie und schützt sich davor, vom System bei Speicherknappheit beendet zu werden. Sie ist darauf ausgelegt, lange unentdeckt zu laufen — das ist bei diesem Geschäftsmodell keine Nebensache, sondern der Kern.
Zwei Sätze zum Mitnehmen
Ein gekapertes Gerät muss sich nicht bemerkbar machen, um Schaden anzurichten. Und die Lücken, über die es hereinkam, sind im Schnitt Jahre alt.
Wenn bei Ihnen E-Mails ohne erkennbaren Grund abgewiesen werden oder die Leitung sich seltsam verhält, schauen wir uns die Serverseite gerne an — und sagen Ihnen offen, wenn die Ursache nicht dort liegt.