Evooo1Bot: Neues Linux-Botnet verwandelt Router in Proxy-Schleusen – Was IT-Verantwortliche jetzt wissen müssen

Einleitung: Eine neue Bedrohung für Netzwerk-Infrastrukturen

Sicherheitsforscher haben im August 2026 eine neue, modular aufgebaute Linux-Schadsoftware namens Evooo1Bot identifiziert, die aktiv Router und andere Gateway-Geräte kompromittiert. Das Besondere daran: Infizierte Geräte werden nicht für klassische DDoS-Angriffe missbraucht, sondern systematisch in SOCKS5-Traffic-Relay-Knoten umgewandelt – also in unsichtbare Durchleitungspunkte für fremden Datenverkehr.

Für deutsche Unternehmen ist dieser Befund aus mehreren Gründen hochrelevant: Viele Organisationen betreiben im Unternehmensnetzwerk ältere Edge-Geräte, Router oder VPN-Gateways, deren Firmware selten oder nie aktualisiert wird. Genau diese Geräte stehen im Visier von Evooo1Bot. Wer als Betreiber kritischer Infrastruktur oder als NIS2-pflichtiges Unternehmen eingestuft ist, muss zudem wissen, wann und wie er Sicherheitsvorfälle zu melden hat – denn ein kompromittierter Router kann schnell eine meldepflichtige Situation auslösen.

Technischer Hintergrund: Was steckt hinter Evooo1Bot?

Mirai als Blaupause – aber deutlich weiterentwickelt

Evooo1Bot basiert auf dem berüchtigten Mirai-Botnetz-Code, der seit seinem Leak im Jahr 2016 immer wieder als Grundlage für neue Angriffswellen dient. Anders als seine Vorläufer ist Evooo1Bot jedoch modular aufgebaut: Die Schadsoftware lädt situativ verschiedene Plug-in-Module nach, je nachdem, welche Funktion auf dem kompromittierten Gerät am nützlichsten erscheint.

Der zentrale Missbrauchsmechanismus ist die Einrichtung eines SOCKS5-Proxys. Dabei wird das infizierte Gerät – in den meisten Fällen ein Internet-Router, ein NAS-System oder ein Edge-Gateway – als Durchleitungspunkt für fremden Netzwerkverkehr konfiguriert. Angreifer oder deren Kunden können anschließend über diese Geräte im Internet surfen, Angriffe starten oder kriminelle Aktivitäten verschleiern, ohne dass ihre eigene IP-Adresse sichtbar wird.

Angriffsablauf im Überblick

Warum SOCKS5-Relays so gefährlich sind

Ein SOCKS5-Relay ist für Verteidiger besonders schwer zu entdecken, weil:

• der legitime Router-Betrieb weiterläuft und keine offensichtlichen Störungen auftreten
• der Fremdverkehr im Netzwerk-Log wie normaler ausgehender Traffic aussieht
• die eigentliche Angreiferidentität vollständig verschleiert wird
• infizierte Geräte für weitere Angriffe auf Dritte genutzt werden können – was das betroffene Unternehmen ungewollt zum Mittäter macht

Auswirkungen auf Deutschland und NIS2-Relevanz

Wer ist betroffen?

Prinzipiell kann jedes Unternehmen mit einem internetfähigen Router Opfer von Evooo1Bot werden. Besonders im Fokus stehen jedoch:

• KMU und Mittelstand, die Consumer- oder SOHO-Router im Einsatz haben
• Betreiber kritischer Infrastrukturen (KRITIS) in Sektoren wie Energie, Wasser, Gesundheit und Transport
• NIS2-pflichtige Unternehmen, die unter das BSI-Gesetz (BSIG) in seiner novellierten Fassung fallen

NIS2 und die Meldepflicht: Was gilt?

Mit der Umsetzung der NIS2-Richtlinie in deutsches Recht (BSI-Gesetz) sind betroffene Unternehmen verpflichtet, erhebliche Sicherheitsvorfälle zu melden. Ein durch Evooo1Bot kompromittierter Router kann als solcher Vorfall einzustufen sein, wenn:

• Vertraulichkeit, Integrität oder Verfügbarkeit von Netz- und Informationssystemen beeinträchtigt sind
• der Vorfall Auswirkungen auf die Leistungserbringung des Unternehmens hat oder haben könnte
• Dritten durch den Fremdverkehr über den kompromittierten Router Schaden entstehen könnte

Die Meldefristen nach NIS2 sind dabei verbindlich:

• Erste Meldung (Early Warning): innerhalb von 24 Stunden nach Kenntnisnahme an das BSI
• Detailmeldung: innerhalb von 72 Stunden
• Abschlussbericht: innerhalb von einem Monat

Das BSI empfiehlt zudem, auch unterhalb der Meldeschwelle proaktiv Kontakt aufzunehmen, um Unterstützung zu erhalten.

Haftungsrisiken nicht unterschätzen

Wird der kompromittierte Router als Ausgangspunkt für Angriffe auf Dritte genutzt, drohen betroffenen Unternehmen nicht nur Reputationsschäden, sondern potenziell auch zivilrechtliche Haftungsansprüche. Im Kontext der DSGVO ist zudem zu prüfen, ob personenbezogene Daten durch den Fremdverkehr abgeflossen sein könnten – was eine separate Meldepflicht gegenüber der zuständigen Datenschutzbehörde auslösen würde.

Praktische Schutzmaßnahmen: 7 konkrete Tipps

1. Sofortige Inventarisierung aller Edge-Geräte

Erstellen Sie ein vollständiges Inventar aller internetfähigen Geräte in Ihrem Netzwerk – Router, Switches, NAS-Systeme, VPN-Gateways, IoT-Geräte. Unbekannte oder nicht verwaltete Geräte sind das größte Risiko. Tools wie Nmap, Shodan-Monitoring oder kommerzielle Asset-Management-Lösungen helfen dabei.

2. Standard-Passwörter sofort ändern

Evooo1Bot nutzt primär Default-Credentials für den Erstzugang. Ändern Sie alle Standardpasswörter bei der Inbetriebnahme neuer Geräte, erzwingen Sie starke Passwörter und dokumentieren Sie diese sicher in einem Passwort-Manager. Das BSI empfiehlt Passwörter mit mindestens 12 Zeichen und Zeichenmix.

3. Firmware konsequent aktualisieren

Veraltete Firmware ist das Einfallstor Nummer eins. Richten Sie einen Patch-Management-Prozess für alle Netzwerkgeräte ein, der regelmäßige Updates sicherstellt. Bei Geräten, für die keine Hersteller-Updates mehr erscheinen (End-of-Life), ist der Gerätetausch die einzige sichere Option.

4. Fernzugriff einschränken und absichern

Deaktivieren Sie Telnet (Port 23, 2323) und unverschlüsselte HTTP-Verwaltungszugänge vollständig. Erlauben Sie Fernzugriff auf Management-Interfaces ausschließlich über VPN oder SSH mit Public-Key-Authentifizierung. Schränken Sie den Zugriff zusätzlich per IP-Allowlist ein.

5. Ausgehenden Datenverkehr überwachen

SOCKS5-Proxys erzeugen charakteristische Netzwerkmuster. Implementieren Sie Netzwerk-Monitoring und Anomalieerkennung (z. B. via SIEM oder NDR-Systeme), die ungewöhnlich hohe ausgehende Datenmengen, Verbindungen zu unbekannten IP-Bereichen oder auffällige Port-Nutzung melden.

6. Netzwerksegmentierung umsetzen

Isolieren Sie IoT-Geräte, Router und andere Edge-Systeme in dedizierten Netzwerksegmenten (VLANs), die keinen direkten Zugriff auf kritische interne Systeme haben. So begrenzen Sie den Bewegungsraum eines Angreifers im Falle einer erfolgreichen Kompromittierung erheblich.

7. Incident-Response-Plan aktuell halten

Stellen Sie sicher, dass Ihr Incident-Response-Plan die Szenarien „kompromittierter Router" und „unbekannter ausgehender Traffic" abdeckt. Definieren Sie klare Verantwortlichkeiten, Eskalationswege und – gerade für NIS2-pflichtige Unternehmen – die genauen Meldeprozesse zum BSI inklusive der zuständigen Kontaktpersonen.

Fazit: Perimeter-Sicherheit ist keine Nebensache

Evooo1Bot zeigt eindrücklich, dass die Bedrohung durch Botnetze nicht stagniert, sondern sich kontinuierlich weiterentwickelt. Die Verlagerung weg von reinen DDoS-Angreifern hin zu stillen, schwer detektierbaren Proxy-Netzwerken macht diese Schadsoftware besonders heimtückisch – und besonders gefährlich für Unternehmen, die ihre Netzwerkperipherie vernachlässigen.

Für IT-Verantwortliche und Geschäftsführer bedeutet das: Router und Gateway-Geräte sind kritische Sicherheitskomponenten, die denselben Aufmerksamkeitsgrad verdienen wie Server oder Workstations. Wer heute in Asset-Management, Patch-Prozesse und Netzwerkmonitoring investiert, schützt nicht nur die eigene Infrastruktur, sondern vermeidet auch die empfindlichen Konsequenzen einer NIS2-Meldepflichtverletzung.

Call-to-Action: NIS2-Compliance strukturiert angehen

Die Meldepflichten, Risikobewertungen und Nachweispflichten nach NIS2 manuell zu verwalten, ist für die meisten Organisationen kaum praktikabel. Spezialisierte NIS2-Compliance-Softwarelösungen helfen dabei, Vorfälle revisionssicher zu dokumentieren, Meldefristen im Blick zu behalten und den aktuellen Compliance-Status transparent darzustellen – auch gegenüber Behörden wie dem BSI. Prüfen Sie, ob Ihre bestehenden Tools diese Anforderungen bereits abdecken oder ob eine dedizierte Lösung sinnvoll ist.