Ein neues Botnetz vermietet Heimrouter als Proxys - möglicherweise auch Ihren
Ihr Router bekommt überhaupt keine Aufmerksamkeit. Er blinkt fünf oder sechs Jahre lang unbeachtet in einer Ecke vor sich hin, und niemand meldet sich seit dem Tag der Einrichtung noch einmal an ihm an. Genau das macht ihn attraktiv für jene, die Evooo1Bot betreiben.
Fortinets Forscher veröffentlichten ihre Analyse am 13. August: ein Linux-Botnetz auf Basis des geleakten Mirai-Codes, aktiv seit mindestens Juli. Es dringt über 18 bekannte, längst gepatchte Schwachstellen ein - die älteste aus dem Jahr 2007, die neueste ein 2025er-Fehler in D-Links DIR-868L -, und trifft Geräte von NETGEAR, TP-Link, D-Link, Tenda, Zyxel, Telesquare und Alcatel sowie D-Link-Netzwerkfestplatten und Hikvision-Kameras. Zusätzlich versucht es SSH-Logins mit roher Gewalt über eine eingebaute Liste von mehr als 150 Standard-Benutzername-Passwort-Kombinationen zu knacken - eine höfliche Umschreibung dafür, dass es überall hineinspaziert, wo niemand das aufgeklebte Standardpasswort geändert hat.
Was danach passiert, ist der neuartige Teil. Statt den Router nur als DDoS-Kanone einzuspannen - dafür hat es ebenfalls sechzehn Flutungsmethoden geerbt -, verwandelt Evooo1Bot das Gerät in einen SOCKS5-Proxy, der entweder auf Port 1080 lauscht oder sich beim Relay-Server des Betreibers einwählt, sodass nichts Verdächtiges offen sichtbar bleibt. Der Datenverkehr Fremder verlässt das Internet dann über die eigene Heim-IP-Adresse. Es schnüffelt außerdem Authentifizierungs-Header und Cookies mit, die durchlaufen, und meldet sich über Port 443 bei seinem Kontrollserver, damit der Datenverkehr im normalen HTTPS-Verkehr untergeht.
Die eigentliche Sorge ist nicht eine langsamere Verbindung. Es ist, dass sich die Aktivität eines Fremden nun bis zur eigenen Adresse zurückverfolgen lässt. Drei Dinge helfen: die neueste Firmware von der Website des Router-Herstellers selbst installieren, das Admin-Passwort ändern, falls es noch das Werkspasswort ist, und die Fernverwaltung ausschalten, damit die Admin-Seite überhaupt nicht aus dem Internet erreichbar ist. Ein Router, der seit Jahren keine Firmware mehr bekommt, sollte man schlicht ersetzen.
Tendvanes Netzwerk-Scan listet jedes Gerät im Heimnetzwerk auf - der schnellste Weg, um den Router, die Kamera oder die alte Netzwerkfestplatte zu bemerken, von der man vergessen hatte, dass sie noch angeschlossen und nach außen offen war.