Eine neue Mirai-Variante Evooo1Bot macht gezielt Jagd auf schlecht gewartete Heim- und Büro-Router. Die Sicherheitsforscher von FortiGuard Labs beschreiben die bislang undokumentierte Linux-Schadsoftware als besonders leise: Sie funkt verschlüsselt mit ihren Steuerservern und weicht Analyse-Fallen aus. Für alle mit einem älteren Router am Netz ist das ein guter Anlass, kurz hinzusehen.
Was die Mirai-Variante Evooo1Bot ausmacht
Evooo1Bot baut auf dem berüchtigten Mirai-Code auf, geht aber deutlich raffinierter vor. Laut FortiGuard nutzt die Malware ungepatchte Schwachstellen in Geräten von Alcatel, D-Link, Mitsubishi Electric, Netgear, Tenda und Telesquare, um sich zu verbreiten. Betroffen sind also klassische Consumer- und Kleinbüro-Router, die aus dem Internet erreichbar sind.
Klartext ins Postfach
KI, Security & Crypto – die wichtigsten Analysen, kein Spam. Jederzeit abbestellbar.
Neben der üblichen DDoS-Funktion von Mirai bringt Evooo1Bot mehrere bemerkenswerte Zusätze mit:
- Verschlüsselte Kommunikation mit den Command-and-Control-Servern, was die Entdeckung im Netzwerkverkehr erschwert.
- Einen SSH-Scanner, der Geräte überspringt, die erkennbar als Honeypot – also als Analyse-Falle – aufgesetzt sind, und der reale Ziele über ein Wörterbuch mit gängigen Standard-Zugangsdaten angreift.
- Einen Sniffer, der den laufenden Datenverkehr mitliest und dabei übertragene Zugangsdaten abgreift.
- Ein Proxy-Modul, das gekaperte Router als dauerhaften Umschlagplatz für fremden Datenverkehr missbraucht – der eigentlich heikle Teil, weil das Gerät so zum Werkzeug weiterer Angriffe wird.
Die Telemetrie von FortiGuard zeigt Aktivität in Nord- und Südamerika, Europa, Indien, China und Japan. Die Kampagne läuft demnach bereits seit mindestens einem Monat.
Was das für dich bedeutet
Der Router ist das am meisten unterschätzte Gerät im Haushalt. Er läuft rund um die Uhr, hängt direkt am Internet und wird nach der Einrichtung oft nie wieder angefasst. Genau darauf zielt Evooo1Bot: Es sucht nicht die eine spektakuläre Lücke, sondern die vielen kleinen Nachlässigkeiten – nie geändertes Standard-Passwort, offener Fernzugang, seit Jahren keine Firmware mehr.
Aus meiner Erfahrung ist das reale Risiko weniger, dass „dein” Router lahmgelegt wird. Vielmehr wird er heimlich Teil eines Botnetzes, das andere angreift – dein Anschluss macht die Drecksarbeit, du merkst höchstens eine lahmere Leitung. Panik ist trotzdem nicht angebracht: Wer die üblichen Grundlagen erledigt, fällt aus dem Beuteschema dieser Malware heraus, weil sie bewusst auf die einfachen Ziele geht.
Diese Schritte solltest du jetzt umsetzen
- Standard-Zugangsdaten ändern: Ersetze jedes ab Werk gesetzte Passwort – am Router-Login und, falls vorhanden, beim SSH-Zugang. Genau danach sucht die Malware.
- Firmware aktualisieren: Spiele das neueste Firmware-Update deines Herstellers ein. Die ausgenutzten Lücken sind bekannt und gepatcht – nur eben nicht auf ungewarteten Geräten.
- Fernzugriff abschalten: Deaktiviere Remote-Management und SSH aus dem Internet, wenn du sie nicht ausdrücklich brauchst.
- Altgeräte ersetzen: Bekommt dein Router keine Sicherheitsupdates mehr, gehört er ausgetauscht. Ein Gerät ohne Patches bleibt dauerhaft verwundbar.
Welche aktuellen Geräte noch Updates bekommen und worauf du beim sicheren Heimnetz achten solltest, habe ich im Ratgeber zu WLAN-Routern und Mesh-Systemen 2026 zusammengefasst. Wie ganze Botnetze aus vernachlässigten Geräten entstehen, zeigte zuletzt auch der Fall des Kimwolf-Botnets aus Bilderrahmen und Webcams.
Fazit
Die Mirai-Variante Evooo1Bot ist technisch clever, aber leicht auszubremsen. Sie lebt von Standard-Passwörtern und veralteter Firmware – also genau den Dingen, die jeder in wenigen Minuten in Ordnung bringen kann. Kümmere dich heute um deinen Router, dann bleibt er dein Werkzeug und wird nicht zur Waffe eines anderen.
Quellen
- The Record: New Mirai variant adds stealth capabilities to notorious botnet code
- FortiGuard Labs: Multi-Functional Linux Botnet Evooo1Bot
Diese Analysen als Newsletter
Ein Mal pro Woche Klartext zu KI, Security & Crypto – direkt in dein Postfach.
Jetzt anmelden