OWN NEWS GATHER
← 戻る
The Hacker News

Miraiのコードを流用したLinuxボットネット「Evooo1Bot」が判明、機器をSOCKS5プロキシ化

要点

  • セキュリティ研究者により、Linux環境を標的とする未報告のボットネット「Evooo1Bot」が確認された。

  • 流出したMiraiのDDoSエンジンを流用しつつ、通信の暗号化やSOCKS5プロキシ化など大幅な機能拡張が施されている。

  • ルーターや産業用機器などの既知の脆弱性を悪用し、2026年7月から実際の攻撃活動を展開している。

  • 侵入した機器をプロキシの中継点に仕立て上げ、攻撃者の発信元隠蔽や内部侵入の足がかりとして悪用する。

  • セキュリティ企業のFortinet（フォーティネット）の研究部門であるFortiGuard Labsは、Linuxを標的とする新種のボットネットファミリー「Evooo1Bot」を発見したと発表した。このマルウェアは過去に流出した「Mirai」のソースコードをベースに開発されており、2026年7月頃から実際の攻撃環境で活動が確認されているという。インターネット上に露出したルーターやエッジデバイス（ネットワーク境界に配置される機器）の既知の脆弱性を悪用して感染を広げ、侵入した機器をSOCKS5プロキシ（通信を中継して発信元を偽装する仕組み）へ仕立て上げる点が特徴とされている。

Miraiのエンジンを基盤に大幅な機能拡張

Fortinetの分析によると、Evooo1BotはMiraiのDDoS（分散型サービス妨害）攻撃エンジンを再利用しているものの、元のフレームワークを大幅に拡張している。指令サーバーであるC2（Command and Control）サーバーとの暗号化通信をはじめ、SSHの総当たり（ブルートフォース）スキャナー、通信を中継するSOCKSリレーモジュール、認証情報を盗み出すクレデンシャルスニファー、そして複数の既知の脆弱性を突く攻撃モジュールなどが統合されているという。

既知の脆弱性を突く初期侵入と感染プロセス

Evooo1Botは、インターネット経由でアクセス可能な機器の既知の欠陥を突いて侵入する。悪用対象として確認されている主な脆弱性は以下の通りだ。

  • CVE-2007-3010: Alcatel OmniPCX Enterpriseのリモートコード実行
  • CVE-2016-6277: NETGEAR製複数ルーターのリモートコード実行
  • CVE-2018-14558: Tenda AC7/AC9/AC10ルーターのコマンドインジェクション
  • CVE-2019-14931: 三菱電機 Europe B.V.およびINEA製ME-RTU機器のリモートコマンドインジェクション
  • CVE-2020-10987: Tenda AC1900ルーター（AC15モデル）のリモートコード実行
  • CVE-2021-46422: Telesquare SDT-CW3B1のコマンドインジェクション
  • CVE-2022-37055: D-Link製ルーターのバッファオーバーフロー
  • CVE-2024-29269: Telesquare TLR-2005KSHのコマンドインジェクション
  • CVE-2025-10123: D-Link DIR-823Xのコマンドインジェクション
  • CVE-2025-55583: D-Link DIR-868L B1ルーターのコマンドインジェクション

これらの脆弱性の悪用に成功すると、外部サーバー（91.92.40[.]118）上のローダー用シェルスクリプト「wget.sh」が実行される。スクリプトは機器のCPUアーキテクチャに適合したボットネットバイナリを取得して起動し、直後にBashの実行履歴を削除して攻撃の痕跡を消去する。

検知回避とC2サーバーによる遠隔制御

バイナリは起動時に解析ツール、サンドボックス（隔離された検査環境）、仮想環境の有無を検知し、安全が確認された場合にのみ動作を継続する。C2サーバーとの通信にはポート443が利用され、暗号化される。これは、一般的なWeb通信（HTTPS）に偽装して境界ネットワークの検知を回避する意図があるとみられている。

C2サーバーへ登録された端末は、永続化の確立、バイナリの更新、ボットの停止、ファイルの送受信、対話型シェルの起動、HTTP Basic認証やCookieの傍受、プロキシノード化、SSHスキャナーの実行、DNS/TCP/UDPによるDDoS攻撃、脆弱性攻撃ディスパッチャーの起動といった多様な遠隔操作命令を受け付ける。

8つの脆弱性を標的にする拡散モジュール

さらにEvooo1Botは、感染拡大のために以下の8種類の既知の脆弱性を標的にできるエクスプロイト（攻撃実行）モジュールを内蔵している。

  • CVE-2021-36260: Hikvision製品
  • CVE-2022-26134: Atlassian Confluence
  • CVE-2022-29464: WSO2製品
  • CVE-2022-30525: Zyxel製品
  • CVE-2023-1389: TP-Link製品
  • CVE-2024-4577: PHP
  • CVE-2024-10914: D-Link製品
  • CVE-2025-1974: Kubernetes

感染端末をプロキシ化する脅威

ルーターやファイアウォール、IPカメラなどの感染機器をSOCKS5プロキシに作り変える機能について、Fortinetは攻撃者にとってホストの価値を大幅に引き上げる要因だと述べている。侵害された機器のIPアドレスを悪用することで、悪意ある通信を偽装して地理的制限をすり抜けたり、侵害した機器を経由して組織内部のネットワークへアクセスするための足がかりにできるためだという。

また、ボットネットの規模が拡大した場合、分散型プロキシインフラとして悪用され、匿名通信の転送や住宅・企業向けプロキシサービスとしての販売による収益化にもつながる可能性があると説明されている。

元URL