Nieuw Linux-botnet verandert routers in proxyservers en vormt bredere bedreiging

Een nieuw Linux-botnet richt zich op routers, firewalls, camera's, NAS-systemen en andere apparaten aan de rand van bedrijfs- en thuisnetwerken. De malware, die bekendstaat als Evooo1Bot, is gebaseerd op de beruchte Mirai-botnetcode, maar is aanzienlijk uitgebreid. Waar klassieke Mirai-varianten zich vooral richten op het opbouwen van een botnet voor DDoS-aanvallen, kan Evooo1Bot geïnfecteerde apparaten ook inzetten als proxyserver voor ander internetverkeer.

Dat maakt de malware potentieel gevaarlijker dan een traditioneel IoT-botnet. Een aanvaller kan een besmette router of ander Linux-apparaat namelijk gebruiken als tussenstation. Internetverkeer lijkt dan afkomstig te zijn van het IP-adres van het slachtoffer, terwijl de daadwerkelijke aanvaller zich elders bevindt. Daarmee kan een geïnfecteerd apparaat worden gebruikt voor bijvoorbeeld het verhullen van de herkomst van aanvallend verkeer, het uitvoeren van andere kwaadaardige activiteiten of het aanbieden van toegang tot een netwerkverbinding met een ogenschijnlijk betrouwbare herkomst.

Onderzoekers volgen de malware sinds juli en hebben inmiddels verschillende onderdelen van de infrastructuur en functionaliteit van Evooo1Bot in kaart gebracht. De malware beschikt over meerdere modules waarmee apparaten kunnen worden geïnfecteerd, onderhouden, gebruikt voor DDoS-aanvallen en ingezet als verkeersrelay.

Mirai als basis, maar met veel meer mogelijkheden

Evooo1Bot is gebouwd op de broncode en het concept van Mirai. Dat botnet werd oorspronkelijk berucht doordat het grote aantallen slecht beveiligde IoT-apparaten wist over te nemen en deze vervolgens gezamenlijk voor DDoS-aanvallen gebruikte.

Evooo1Bot neemt een belangrijk deel van die oorspronkelijke functionaliteit over, maar gaat aanzienlijk verder. De malware bestaat uit verschillende modules die afzonderlijk verantwoordelijk zijn voor onder meer exploitatie, netwerkcommunicatie, DDoS-aanvallen, proxyfunctionaliteit, credential harvesting en verspreiding naar andere systemen.

De combinatie van deze functies maakt Evooo1Bot tot een multifunctioneel botnet. Een geïnfecteerde router is daardoor niet slechts een apparaat dat opdrachten ontvangt voor een DDoS-aanval, maar kan onderdeel worden van een infrastructuur waarmee aanvallers langduriger toegang en anonimiteit proberen te verkrijgen.

Kwetsbare apparaten rechtstreeks vanaf internet aangevallen

De eerste infectie begint doorgaans met het zoeken naar apparaten die rechtstreeks vanaf internet bereikbaar zijn en waarop bekende kwetsbaarheden aanwezig zijn.

Onderzoekers hebben aanvallen gezien waarbij onder meer apparatuur van Alcatel, NETGEAR, Tenda, Mitsubishi Electric en Telesquare werd aangevallen. Ook apparaten van D-Link behoren tot de potentiële doelwitten.

Daarnaast beschikt Evooo1Bot over een afzonderlijke exploitmodule met een veel bredere verzameling aanvalsmethoden. Daarin bevinden zich onder meer exploits voor:

• Hikvision-camera's;
• Zyxel-firewalls;
• TP-Link-routers;
• D-Link-NAS-systemen;
• Atlassian Confluence;
• WSO2-producten;
• Kubernetes ingress-nginx;
• PHP-CGI-installaties.

Niet iedere opgenomen exploit werkt daadwerkelijk betrouwbaar of zoals oorspronkelijk bedoeld. Dat neemt echter niet weg dat de omvang van de exploitmodule laat zien dat de makers van Evooo1Bot proberen zoveel mogelijk verschillende Linux- en netwerkapparaten bereikbaar te maken.

Voor aanvallers is dit belangrijk: hoe groter het aantal apparaten dat automatisch kan worden aangevallen, hoe groter de kans dat een deel daarvan succesvol wordt overgenomen.

Automatisch de juiste malwarevariant downloaden

Zodra een kwetsbaar apparaat succesvol is aangevallen, probeert Evooo1Bot een geschikte versie van zichzelf te downloaden en uit te voeren.

De malware is daarvoor beschikbaar in twaalf verschillende varianten, bedoeld voor verschillende processorarchitecturen. Dat is kenmerkend voor malware die zich specifiek richt op routers en andere embedded systemen. Dergelijke apparaten gebruiken namelijk niet noodzakelijk dezelfde CPU-architectuur als reguliere computers en servers.

Door meerdere uitvoerbare varianten beschikbaar te stellen, kunnen de aanvallers een groter deel van het potentiële doelwitbestand bedienen. Na een succesvolle infectie wordt de passende versie naar het apparaat gebracht en gestart.

Vervolgens probeert de malware sporen van de installatie te beperken. Zo wordt onder meer de Bash-commandogeschiedenis gewist. Daarmee wordt het voor een beheerder moeilijker om achteraf aan de hand van eerder uitgevoerde commando's vast te stellen hoe het apparaat is gecompromitteerd.

Malware probeert analyse en detectie te ontwijken

Evooo1Bot bevat daarnaast verschillende mechanismen om analyse door onderzoekers en beveiligingssoftware te bemoeilijken.

Voor de daadwerkelijke uitvoering controleert de malware onder meer of zij zich in een omgeving bevindt die kenmerken vertoont van:

• een virtuele machine;
• een container;
• een sandbox;
• een honeypot;
• een debugger;
• bepaalde beveiligingssoftware.

Wanneer de malware aanwijzingen krijgt dat het systeem mogelijk wordt gebruikt voor analyse of onderzoek, kan zij haar gedrag daarop aanpassen of verdere uitvoering voorkomen.

Dit soort anti-analysetechnieken is vooral relevant omdat het de traditionele manier waarop onderzoekers malware onderzoeken kan bemoeilijken. Een sample kan zich in een gecontroleerde onderzoeksomgeving anders gedragen dan op een daadwerkelijk geïnfecteerde router.

Versleutelde communicatie met de command-and-controlinfrastructuur

Voor de communicatie met de aanvallers maakt Evooo1Bot gebruik van een command-and-controlinfrastructuur, oftewel C2.

De communicatie verloopt versleuteld via poort 443. Dat is dezelfde netwerkpoort die veel reguliere HTTPS-verbindingen gebruiken. Alleen het gebruik van poort 443 is daarom niet voldoende om kwaadaardige communicatie te onderscheiden van normaal webverkeer.

Eenmaal verbonden met de C2-infrastructuur kan een geïnfecteerd apparaat opdrachten ontvangen en verschillende beschikbare modules uitvoeren.

De opvallendste functie: een besmette router wordt een SOCKS5-proxy

De meest interessante uitbreiding ten opzichte van klassieke Mirai-varianten is de ondersteuning voor SOCKS5-proxyverbindingen.

Een besmet apparaat kan hierdoor als tussenstation voor internetverkeer worden gebruikt. De aanvaller maakt verbinding met de geïnfecteerde router of het andere Linux-apparaat, waarna verkeer via dat apparaat naar het internet wordt doorgestuurd.

Voor externe systemen lijkt het verkeer daardoor afkomstig te zijn van het IP-adres van het slachtoffer.

Dat verandert de aard van de dreiging aanzienlijk.

Bij een traditioneel botnet wordt een geïnfecteerde router vooral gebruikt als onderdeel van een grote groep apparaten die gezamenlijk een doelwit aanvallen. Bij Evooo1Bot kan hetzelfde apparaat daarnaast worden gebruikt om verkeer van derden te laten verlopen via de internetverbinding van het slachtoffer.

De router wordt daarmee feitelijk onderdeel van een verkeersrelay-netwerk.

Waarom proxyfunctionaliteit aantrekkelijk is voor aanvallers

Een botnet dat over grote aantallen proxy-capabele apparaten beschikt, kan voor aanvallers commercieel en operationeel zeer interessant zijn.

Een reguliere VPN- of datacenterverbinding kan relatief gemakkelijk worden herkend als afkomstig van een hostingprovider of bekende infrastructuur. Verkeer dat via een gehackte consumentenrouter, zakelijke router of ander edge-apparaat loopt, lijkt daarentegen afkomstig van een normale internetverbinding.

De aanvaller kan daardoor zijn eigen infrastructuur gedeeltelijk buiten beeld houden.

Het risico is bovendien niet beperkt tot DDoS-aanvallen. Een gecompromitteerd IP-adres kan worden gebruikt als uitgangspunt voor allerlei soorten internetverkeer. Wanneer kwaadwillenden bijvoorbeeld vanaf een besmette router websites, diensten of andere systemen benaderen, kan het voor de ontvangende partij lijken alsof de verbinding afkomstig is van het netwerk van de daadwerkelijke eigenaar van het apparaat.

De eigenaar van het IP-adres kan daardoor worden geconfronteerd met activiteiten die hij zelf nooit heeft uitgevoerd.

Meerdere proxysessies tegelijkertijd

Evooo1Bot kan meerdere SOCKS5-sessies gelijktijdig en onafhankelijk van elkaar onderhouden.

Dat betekent dat één besmet apparaat niet noodzakelijk slechts één verbinding voor de aanvaller beschikbaar stelt. Een voldoende grote verzameling geïnfecteerde apparaten kan daardoor functioneren als een omvangrijk netwerk van proxy-uitgangen.

Wanneer duizenden of meer apparaten op deze manier worden samengebracht, ontstaat een infrastructuur die vergelijkbaar kan worden met commerciële proxy-netwerken waarin IP-adressen van reguliere internetverbindingen worden aangeboden als uitgangspunt voor internetverkeer.

Daarmee ontstaat voor de malwaremakers mogelijk een extra verdienmodel naast het traditionele gebruik van botnets voor DDoS-aanvallen.

Evooo1Bot probeert ook inloggegevens te onderscheppen

De malware beschikt daarnaast over functionaliteit om bepaalde gegevens uit netwerkverkeer te halen.

Evooo1Bot controleert onder meer informatie die beschikbaar is via /proc/net/tcp. Daarbij wordt gezocht naar bepaalde vormen van authenticatiegegevens, waaronder HTTP Basic Authentication en informatie uit Cookie-headers.

Dit is een belangrijk onderdeel van de malware omdat het de aanvallers mogelijk toegang kan geven tot gegevens die vervolgens voor andere aanvallen kunnen worden gebruikt.

Een besmet apparaat fungeert daarmee niet alleen als proxy of DDoS-node, maar kan ook worden gebruikt als bron van aanvullende informatie over het verkeer dat door of langs het apparaat loopt.

Ook SSH-systemen worden aangevallen

Evooo1Bot bevat bovendien een module die zich richt op SSH.

De malware probeert met een lijst van ongeveer 150 combinaties van gebruikersnamen en wachtwoorden toegang te krijgen tot andere systemen.

Wanneer dergelijke aanvallen succesvol zijn, kan de malware zich mogelijk verder verspreiden binnen bereikbare Linux-systemen. Dit maakt de infectie niet uitsluitend afhankelijk van de oorspronkelijke kwetsbaarheid waarmee het eerste apparaat werd overgenomen.

Een slecht beveiligde SSH-configuratie kan daardoor een tweede route naar andere systemen vormen.

Voor organisaties is dat vooral relevant wanneer routers, servers en andere Linux-systemen onderling bereikbaar zijn. Een geïnfecteerd edge-apparaat kan in dat geval worden gebruikt als vertrekpunt voor verdere aanvallen.

Zestien verschillende DDoS-methoden

Ondanks alle nieuwe functionaliteit blijft de oorspronkelijke Mirai-doelstelling duidelijk aanwezig.

Evooo1Bot beschikt over zestien verschillende methoden voor DDoS-aanvallen. Daaronder bevinden zich onder meer:

• SYN-floods;
• UDP-floods;
• DNS-floods;
• ACK-floods;
• HTTP-floods.

Een geïnfecteerd apparaat kan hierdoor onderdeel worden van een gecoördineerde aanval op een extern doelwit.

De combinatie van DDoS- en proxyfunctionaliteit is daarbij bijzonder relevant. Dezelfde botnetinfrastructuur kan namelijk voor verschillende doeleinden worden ingezet. Apparaten kunnen afhankelijk van de opdracht worden gebruikt voor volumetrische aanvallen, applicatielaagaanvallen of als tussenstation voor ander internetverkeer.

Persistentie maakt eenvoudige verwijdering lastig

Evooo1Bot probeert bovendien te voorkomen dat een herstart van het apparaat of het beëindigen van het malwareproces de infectie definitief oplost.

Daarvoor ondersteunt de malware verschillende Linux-mechanismen voor persistentie, waaronder:

• systemd;
• SysV init;
• rc.local;
• cron.

Een cronjob probeert bovendien iedere vijf minuten opnieuw een malwarecomponent op te halen.

Dat betekent dat alleen het actieve proces beëindigen onvoldoende kan zijn. Wanneer de mechanismen waarmee de malware zichzelf opnieuw start of downloadt niet eveneens worden verwijderd, kan het apparaat opnieuw worden geïnfecteerd.

Een beheerder die alleen het zichtbare malwareproces stopt, kan daardoor de indruk krijgen dat het probleem is opgelost terwijl de achterliggende persistentie nog aanwezig is.

Waarom routers een aantrekkelijk doelwit zijn

Routers, firewalls, camera's en andere edge-apparaten zijn voor aanvallers aantrekkelijke doelwitten om verschillende redenen.

Ten eerste zijn ze vaak rechtstreeks vanaf internet bereikbaar. Een kwetsbaarheid hoeft daardoor niet altijd voorafgaande toegang tot een bedrijfsnetwerk te vereisen.

Ten tweede draaien veel van deze apparaten op Linux of een Linux-achtig embedded besturingssysteem. Dat maakt bestaande malwaretechnieken relatief eenvoudig aanpasbaar.

Ten derde worden firmware- en beveiligingsupdates op netwerkapparatuur in de praktijk niet altijd tijdig uitgevoerd. Sommige apparaten blijven daardoor jarenlang bereikbaar via kwetsbaarheden die al publiek bekend zijn.

Daar komt bij dat dergelijke apparaten vaak continu actief zijn. Een router die 24 uur per dag aanstaat, beschikt over een permanente internetverbinding en heeft doorgaans een publiek bereikbaar netwerkadres. Dat maakt het apparaat bijzonder geschikt als onderdeel van een botnet.

Het risico gaat verder dan DDoS

Evooo1Bot laat zien hoe de dreiging rond IoT- en netwerkbotnets zich verder ontwikkelt.

Het traditionele beeld van een botnet is dat duizenden slecht beveiligde apparaten worden besmet en vervolgens gezamenlijk worden gebruikt om een website of online dienst plat te leggen. Moderne botnets kunnen echter veel meer.

Een geïnfecteerde router kan tegelijkertijd:

1. onderdeel zijn van een DDoS-botnet;
2. als SOCKS5-proxy worden gebruikt;
3. netwerkverkeer doorsturen;
4. bepaalde authenticatiegegevens onderscheppen;
5. SSH-wachtwoorden proberen;
6. andere Linux-systemen aanvallen;
7. zichzelf na een herstart opnieuw activeren;
8. nieuwe malwarecomponenten downloaden.

Hierdoor verandert een eenvoudige IoT-infectie in een veel veelzijdiger toegangspunt voor cybercriminelen.

Vooral internetbereikbare apparaten verdienen aandacht

De belangrijkste les voor organisaties en beheerders is dat internetbereikbare netwerkapparatuur niet als minder belangrijk moet worden beschouwd dan traditionele servers en werkstations.

Routers, firewalls, VPN-gateways, camera's, NAS-systemen en andere embedded apparaten moeten worden meegenomen in het reguliere beveiligingsbeleid.

Daarbij zijn vooral de volgende maatregelen belangrijk:

• installeer beschikbare firmware- en beveiligingsupdates zo snel mogelijk;
• vervang apparaten waarvoor geen beveiligingsupdates meer verschijnen;
• schakel ongebruikte internetdiensten uit;
• beperk beheerinterfaces die rechtstreeks vanaf internet bereikbaar zijn;
• gebruik sterke en unieke wachtwoorden;
• beperk SSH-toegang tot vertrouwde bronnen;
• controleer regelmatig welke apparaten vanaf internet bereikbaar zijn;
• monitor onverwachte uitgaande verbindingen;
• let op onbekende processen, cronjobs en opstartconfiguraties;
• controleer netwerkapparaten op onverwachte proxy- of SOCKS-functionaliteit;
• segmenteren van netwerkapparatuur kan voorkomen dat een gecompromitteerde router eenvoudig andere systemen bereikt.

Een besmet router is niet zomaar weer schoon

Bij een vermoedelijke besmetting is alleen het opnieuw opstarten van de router geen betrouwbare oplossing. Ook het stoppen van een verdacht proces hoeft niet voldoende te zijn.

Omdat Evooo1Bot verschillende mechanismen gebruikt om zichzelf opnieuw te starten of opnieuw te downloaden, moeten ook de persistentie- en downloadmechanismen worden onderzocht.

Afhankelijk van het type apparaat kan een volledige firmwareherinstallatie of fabrieksreset noodzakelijk zijn. Daarbij moet vervolgens worden gecontroleerd of de gebruikte firmware up-to-date is en of de oorspronkelijke kwetsbaarheid waardoor het apparaat werd geïnfecteerd daadwerkelijk is verholpen.

Wanneer het apparaat onderdeel is van een bedrijfsnetwerk, moet bovendien worden onderzocht of de aanvaller het gecompromitteerde systeem heeft gebruikt om andere apparaten te benaderen.

Evooo1Bot past in een bredere ontwikkeling

Evooo1Bot is uiteindelijk meer dan alleen een nieuwe Mirai-variant. De malware laat zien hoe aanvallers bestaande botnetcode blijven uitbreiden met functies die een geïnfecteerd apparaat op meerdere manieren bruikbaar maken.

De combinatie van DDoS-capaciteit, exploitatie van kwetsbare apparaten, SSH-aanvallen, credential harvesting, anti-analyse en SOCKS5-proxyfunctionaliteit maakt het botnet bijzonder veelzijdig.

Vooral de mogelijkheid om routers en andere edge-apparaten als proxy te gebruiken is zorgwekkend. Daarmee kan de infrastructuur van slachtoffers niet alleen worden misbruikt om aanvallen uit te voeren, maar ook om de herkomst van internetverkeer te verhullen.

Een kwetsbare router is daarmee niet langer alleen een mogelijk onderdeel van een DDoS-botnet. Het apparaat kan veranderen in een relaypunt voor andere aanvallen en internetactiviteiten, terwijl de eigenaar mogelijk niets merkt van wat er via zijn verbinding gebeurt.

Dat onderstreept opnieuw hoe belangrijk het is om netwerkapparatuur als volwaardige computersystemen te behandelen: voorzien van actuele firmware, sterke toegangsbeveiliging, minimale blootstelling aan internet en voortdurende controle op afwijkend gedrag.

Door: Drifter