Evooo1Bot Linux-Botnetz: Fähigkeiten und Angriffstechniken

Zusammenfassung

Evooo1Bot ist ein neu identifiziertes Mirai-basiertes Linux-Botnetz, das Edge-Geräte kompromittiert, um eine persistente Proxy-Infrastruktur zu etablieren. Die Malware umfasst fortschrittliche Fähigkeiten wie verschlüsselte C2-Kommunikation, ein SOCKS-Relay-Modul und ein integriertes Exploit-Arsenal. Sie zielt auf zahlreiche Schwachstellen ab, die IoT-Geräte und Netzwerkausstattung betreffen.

Untersuchung

FortiGuard Labs entdeckte das Botnetz durch IPS-Telemetrie, die aktive Ausnutzungsversuche erfasste. Die Untersuchung enthüllte eine modulare Architektur, bei der ein Loader-Skript Binärdateien abruft, die auf die Zielsystemarchitektur abgestimmt sind. Analysten identifizierten auch mehrere Umgehungstechniken, darunter mehrschichtige Entschlüsselungen von Zeichenfolgen und Prüfungen auf Analysetools.

Abschwächung

Organisationen sollten die rechtzeitige Aktualisierung aller internetfähigen Geräte und Netzwerkgeräte priorisieren. Regelmäßige Firmware-Updates und kontinuierliche Überwachung auf verdächtige ausgehende Verbindungen sind entscheidend, um die Exposition zu reduzieren. Die Deaktivierung unnötiger Dienste auf Edge-Geräten kann die verfügbare Angriffsfläche weiter minimieren.

Antwort

Wenn Aktivitäten von Evooo1Bot festgestellt werden, sollten betroffene Edge-Geräte sofort vom Netzwerk isoliert werden, um laterale Bewegungen und Proxy-Missbrauch zu stoppen. Ermittler sollten den Umfang der Kompromittierung feststellen und nach Persistenzmechanismen wie Cron-Jobs oder systemd-Diensten suchen. Alle möglicherweise durch den Anmeldeinformations-Schnüffler des Botnets exponierten Zugangsdaten sollten ebenfalls geändert werden.

Simulation Ausführung

Voraussetzung: Die Telemetrie- & Basislinien-Vorflugüberprüfung muss bestanden worden sein.

Begründung: Dieser Abschnitt beschreibt die präzise Ausführung der gegnerischen Technik (TTP), die entworfen wurde, um die Erkennungsregel auszulösen. Die Befehle und Erzählungen MÜSSEN direkt die identifizierten TTPs widerspiegeln und darauf abzielen, die exakte Telemetrie zu erzeugen, die von der Erkennungslogik erwartet wird. Abstrakte oder nicht verwandte Beispiele führen zu Fehldiagnosen.

• Angriffsbericht & Befehle: Ein Gegner hat sich anfänglich Zugang zu einem Linux-Server verschafft. Um sicherzustellen, dass ihr Botnetz-Agent während intensiver Ressourcennutzung aktiv bleibt, führen sie einen Befehl aus, der eine Nutzlast von einem entfernten C2-Server herunterlädt mit curl -sL (leise, Umleitungen folgen). Unmittelbar nach dem Download versucht der Prozess, seine eigene Kernel-Priorität zu manipulieren, indem er -17 in /proc/self/oom_score_adjeingibt. Diese spezifische Kombination aus einem „heimlichen“ Download und „Prozessschutz“ ist das Erkennungsmerkmal des Evooo1Bot.

• Regressionstest-Skript:

  #!/bin/bash
  # Simulation des Evooo1Bot-Verhaltens
  # Ziel: Die Erkennungsregel auslösen, indem beide Befehlszeilenbedingungen erfüllt werden
  
  echo "[+] Starte Evooo1Bot-Simulation..."
  
  # Schritt 1: Den heimlichen Download mit den genauen Flags in der Regel simulieren
  # Wir verwenden eine lokale Loopback- oder Dummy-URL, um tatsächlichen externen Verkehr zu vermeiden, falls nötig
  # aber die Befehlszeile muss mit der Regelzeichenfolge übereinstimmen.
  echo "[+] Ausführen von curl -sL, um den Download der Nutzlast zu imitieren..."
  curl -sL http://localhost:8080/payload > /tmp/payload_test 2>/dev/null || echo "[!] Hinweis: URL nicht erreichbar, aber Befehl wurde ausgeführt."
  
  # Schritt 2: Die Anpassung des OOM-Scores zur Persistenz simulieren
  echo "[+] Anpassen des oom_score_adj, um eine Beendigung zu verhindern..."
  echo -17 > /proc/self/oom_score_adj
  
  echo "[+] Simulation abgeschlossen. Überprüfen Sie SIEM auf Warnungen."

• Bereinigung Befehle:

  # Entfernen der Dummy-Nutzlastdatei
  rm -f /tmp/payload_test
  
  # Zurücksetzen des OOM-Scores (obwohl es nur die aktuelle Shell/das Prozess betrifft)
  echo 0 > /proc/self/oom_score_adj