Evooo1Bot: Linuxルーターを攻撃者のインフラに変貌させるMiraiベースのボットネット

2026年8月18日、新たに特定されたLinuxボットネットが、ルーター、ファイアウォール、IPカメラ、その他のインターネットに公開されたデバイスを、サイバー攻撃、認証情報窃取、秘密裏のトラフィック中継のための分散型攻撃インフラへと変貌させています。このマルウェアは、 Evooo1Botと命名されており、悪名高い Mirai ボットネットの流出したソースコードをベースに一部構築されていますが、その運用者はその構成をはるかに広範なリモートアクセスプラットフォームへと拡張しています。

今これが重要である理由：これは「単なる新たなMirai DDoSボット」ではありません。侵入防止センサーを通じて追跡を開始したFortinetのFortiGuard Labsは、暗号化されたコマンド＆コントロール、持続的アクセス、インタラクティブシェル、ファイル転送、SSH総当たりスキャナー、そして—最も重要な点として— SOCKS5プロキシサービス を備え、攻撃者が正規の家庭や企業のIPアドレスの背後に身を隠すことを可能にする多目的犯罪オペレーションであると説明しています。

Evooo1Botとは何か？

このボットネットの名前は、Fortinetが解析したすべてのバイナリ内部で見つかったハードコードされた文字列「evooo1」に由来します。テレメトリによると、このキャンペーンは少なくとも 2026年7月以降、複数の地域にわたってインターネットからアクセス可能なデバイスを標的にしています。運用者の身元、拠点、動機は不明のままですが、その設計はDDoS専用ツールではなく、柔軟で汎用的な犯罪プラットフォームであることを示しています。Fortinetはこれを 深刻度「Critical」 と評価しています。悪用に成功すると攻撃者に影響を受けるシステムのリモート制御権が与えられるためです。

規模に関する注意点：Fortinetは感染したデバイスの数を公表しておらず、観測された地理的拡散状況をボットネットの総規模の確定的な測定値として捉えるべきではありません。

侵入の手口：長年放置された脆弱性

Evooo1Botは単一のゼロデイ脆弱性に依存していません。代わりに運用者はインターネットをスキャンし、Alcatel-Lucent、NETGEAR、Tenda、三菱電機（Mitsubishi Electric）、Telesquare、D-Linkの機器において、以前に公開された一連の欠陥（中には約20年前のものもあります）に依然として晒されているデバイスを探します。初期の悪用トラフィックは、以下を含むリモートコード実行、コマンドインジェクション、バッファオーバーフローの脆弱性を標的としていました：

• CVE-2007-3010 — Alcatel OmniPCX Enterprise
• CVE-2016-6277 — 複数のNETGEARルーター
• CVE-2018-14558 — Tenda AC7 / AC9 / AC10
• CVE-2019-14931 — Mitsubishi ElectricおよびINEA ME-RTU
• CVE-2020-10987 — Tenda AC15 AC1900
• CVE-2021-46422 — Telesquare SDT-CW3B1
• CVE-2022-37055 — D-Linkルーター
• CVE-2024-29269 — Telesquare TLR-2005KSH
• CVE-2025-10123 — D-Link DIR-823X
• CVE-2025-55583 — D-Link DIR-868L B1

このリストの古さと広範さは、エッジデバイスセキュリティの根本的な問題を捉えています。アプライアンスはセキュリティサポートが終了した後も長期間接続されたままであり、管理者は通常のサーバーに比べてファームウェアに対する可視性をほとんど持たないことがよくあります。パッチが存在してもインストールされなかった場合もあれば、製品が耐用年数（EOL）を迎えており、パッチ適用ではなく交換が必要な場合もあります。確実に動作し続けているデバイスは容易に忘れ去られますが、その管理インターフェースは公開されたままであり、自動的にスキャン対象となります。

Fortinetは、悪用の試みが以下にあるローダーにコールバックしているのを観測しました： 91.92.40[.]118/wget.sh。そこには標的となった製品を特定するラベルが付与されており、運用者がエクスプロイトキャンペーンごとの感染率を追跡してスキャンリソースをどこに向けるかを決定していることが示唆されます。

ローダー：多様なハードウェア向けに構築

デバイスが悪用された後、攻撃者はシェルスクリプト（wget.sh）を実行し、侵害されたシステムに適したEvooo1Botバイナリを取得します。エッジデバイスは多種多様なプロセッサアーキテクチャを使用しているため、ローダーは 12種類のバイナリバリアント を提供し、いくつかの転送ユーティリティ— wget、BusyBox wget, curl、およびTFTP—を試行して、ダウンロードが成功する確率を最大化します。

バイナリは一時的な場所に書き込まれ、実行権限が付与されて起動されます。その後スクリプトはデバイスのBash履歴を消去してインストールコマンドを隠蔽します。これは表面的なアンチフォレンジック対策にすぎず、ネットワーク、プロセス、ファイルシステム、セキュリティデバイスのテレメトリを消去するものではありませんが、簡易的な検査を妨害する可能性があります。また、マルチアーキテクチャアプローチは、単一のバイナリをブロックしてもキャンペーンを無力化できないことを意味します。防御側は単一のファイルハッシュではなく、インフラ全体と動作パターンを追跡する必要があります。

解析妨害：リサーチャーの存在を検知

実行されると、Evooo1Botは自身が調査対象になっていないかを確認します。GDB、strace、Wireshark、tcpdump、YARA、Ghidra、IDA、radare2、Sysdig、bpftraceといった数十種類のデバッグ、リバースエンジニアリング、監視ツールや、サンドボックス、仮想マシン、コンテナ（VMware、VirtualBox、QEMU、Cuckoo、CAPE、Firejail、gVisor、各種解析サービス）の痕跡をスキャンします。これは初期のMiraiバリアントよりもはるかに徹底しており、リサーチャーのラボ内ではマルウェアが沈黙を保つように設計されています。

そのSSHスキャナーには2段階のハニーポット判定機能が追加されています。認証前には標的のSSHバナーをおとりシステム（Cowrie、Kippo、OpenCanary）と比較し、ログイン成功後には正規のLinuxカーネルであるかを確認し、ハニーポット用ディレクトリを検索します。これらを通過したシステムのみがペイロード配信対象として選択されます。スキャナーの辞書には 150以上のユーザー名／パスワードの組み合わせ —そして注目すべきことに、一般消費者向けのデフォルト値にとどまりません。これには jenkins, postgres, oracle, nagios や deployが含まれており、エンタープライズサーバーや運用技術（OT）環境へとその到達範囲を広げています。

暗号化されたコマンドチャネルと28種類のコマンドコントローラー

Evooo1Botは、C2（コマンド＆コントロール）サーバーに TCPポート443経由で接続します。HTTPSに関連付けられたポートを使用することで、境界トラフィックの中に悪意ある接続を紛れ込ませることができます（ただし、ポート443であること自体がトラフィックを正規のHTTPSにするわけではありません）。Fortinetによると、このマルウェアは60個以上の静的文字列を多層の暗号化と難読化（直接保存するのではなく実行時に組み立てられるAES-256-CTR、ChaCha20、XOR導出キー）で保護しているとのことです。

感染したホストを登録した後、最新ビルドは 28種類のコマンドを備えたリモート管理インターフェースを公開します：システム情報の要求、ボットの終了やアップデート、ファイルのアップロード／ダウンロード、コマンド実行、インタラクティブターミナルの起動、バックグラウンドタスクの実行です。疑似端末（pty）のサポートにより、単純なコマンド実行インプラントよりもはるかに実用的なリモートシェルが攻撃者に提供されます。ファイル転送は双方向で機能し（ダウンロード上限10MB）、運用者はデバイスを再悪用することなくデータを外部流出させたり、二次ツールをドロップしたりできます。

永続化：一度に複数の足場を確立

このボットネットは複数の永続化メカニズムを同時にインストールできます— 「Apache HTTPD Cache Manager」 に偽装したsystemdサービス、SysV initスクリプト、シェルプロファイルへのコマンド挿入、そして rc.localの編集です。また、 5分ごとにマルウェアを再ダウンロードして再実行するcronタスクを追加することもできるため、スケジュールされたジョブを削除せずに実行中のバイナリを削除しても、急速な再感染につながります。

さらに、メモリ圧迫下でもカーネルによって強制終了されにくくするためにOOMスコアを調整し、利用可能な環境では /dev/watchdog を開いたままにしてウォッチドッグによる再起動を回避します。どのメカニズムが機能するかはデバイスの権限やinitシステムに依存しますが、root権限で実行されるコマンドインジェクションの脆弱性は広範な制御権を付与します。このため、 個別のファイルを削除しようとするよりも、工場出荷時リセットやファームウェアの完全な再インストールを行う方が安全であることが多いです。特に、基盤となるOSの整合性を確立できない場合はなおさらです。

SOCKS5リレー：すべての感染端末に価値をもたらす理由

プロキシモジュールは、Evooo1BotがDDoS専用のMirai派生型と最も明確に一線を画す点です。ダイレクトモードでは、TCPポート1080でSOCKS5サービスを開き（最初にIPv6デュアルスタックリスナーを試行し、次にIPv4）、運用者が被害者経由で任意のTCP接続をルーティングできるようにします。また、 リバースリレーモード ではインバウンドポートの公開を完全に回避します：デバイスは攻撃者のリレーに対して暗号化されたアウトバウンド接続を確立し、オンデマンドで新たな暗号化セッションを立ち上げます—これはファイアウォールやNATの背後にある環境でより効果的に機能します。

攻撃者にとってのメリット：パスワード攻撃、スキャン、不正行為、アカウント乗っ取りなどを、正規の住宅や企業のIPアドレスからのトラフィックに見せかけることができます。これにより、既知のホスティングプロバイダーからのトラフィックに比べて、不正検知やレピュテーションシステムによる精査を受けにくくなります。このアクセス権は直接利用されるだけでなく、不正なプロキシサービスを通じてレンタルまたは販売されることもあります。

これは被害者側に 二次的リスク をもたらします：組織はまずエッジアプライアンスの侵害を受け、その後自組織のパブリックIPが無関係な第三者への攻撃に関連付けられていることに気づくことになります—目に見えるトラフィックは他者によって生成されたものであるにもかかわらず、ブロックリスト登録、不正利用（アビューズ）の苦情、さらには調査への対応を余儀なくされます。

認証情報の傍受

Evooo1BotにはLinuxの接続データを検査して HTTP AuthorizationヘッダーおよびCookieヘッダーのキャプチャを試みるネットワークスニッフィング機能が含まれており、収集した内容を /tmp/.sniff.logに書き出します。これは特に暗号化されていないHTTPを危険に晒します：基本認証（Basic認証）の認証情報はエンコードされているだけで暗号化されておらず、セッションCookieによって攻撃者はパスワードなしでユーザーになりすますことができます。ネットワーク経路に位置するルーターやゲートウェイにおいて、トラフィックを監視できる能力は一般的なエンドポイント感染よりも深刻な被害をもたらす可能性があります。HTTPSの普及によりパッシブな傍受で明らかになる情報は制限されますが、レガシーな管理インターフェース、産業用システム、社内アプリなどでは依然として平文のHTTPが使用されている場合があります。

現在も機能するDDoSエンジン

数々の追加機能があるものの、Miraiの系譜は残っています：Fortinetは流出したMiraiコードと構造的に一致するDDoSコンポーネントを発見しました。これは 16種類のフラッディング手法 — UDP、DNS、TCP SYN、TCP ACK、GRE、断片化TCP、高パケットレートフラッド、カスタマイズ可能なHTTPフラッド—をサポートしています。エッジアプライアンスは常時稼働しており、高いアップストリーム帯域幅を持つ場合があり、エンドポイント検出によって監視されることがほとんどないため、攻撃の参加主体として重宝されます。

組み込みのエクスプロイトディスパッチャー — 重要な注意点

新しい検体には個別のHTTPエクスプロイトディスパッチャーが搭載されており、感染ホストにボットネットを拡散させる役割を与えています。その埋め込みテーブルには、CVE-2021-36260（Hikvisionカメラ）、CVE-2022-26134（Atlassian Confluence）、CVE-2022-29464（WSO2）、CVE-2022-30525（Zyxelファイアウォール）、CVE-2023-1389（TP-Link Archer AX21）、CVE-2024-4577（Windows上のPHP-CGI）、CVE-2024-10914（D-Link NAS）、およびCVE-2025-1974（Kubernetes ingress-nginx）のエントリが含まれています。

極めて重要な点として、 埋め込まれたCVE文字列は、実際に悪用が機能することの証拠にはなりません。 Fortinetは不適切に実装されたエントリを発見しました—たとえば、CVE-2023-34362（MOVEit Transferの脆弱性）のコードは、それを配置するために必要なアップロードシーケンスを実行する ことなしに 、推定されるWebシェルパスへのアクセスを試みていました。一部のエントリは、観測された形式では悪用不可能と分類されました。また、アーキテクチャ上の不一致もあります。CVE-2024-4577はWindows上のPHP-CGIを標的としていますが、Evooo1BotはLinuxバイナリです。防御側は、 主張されている エクスプロイトメニューと、 検証された 実際の能力とを区別すべきです。

エッジデバイスが極めて魅力的な標的となる理由

感染したワークステーションはエンドポイントセキュリティによって検知されたり、ユーザーに気づかれたり、夜間に電源が切られたりします。一方、ルーター、カメラ、産業用ゲートウェイは常時稼働することが想定されており、ローカルでの監視がほとんど行われていないことが多く、フォレンジックアクセスの手段が限られた軽量版Linuxが稼働している場合があります。また、これらのシステムは戦略的な位置（信頼されたパブリックIP、外部ネットワークと内部ネットワークの橋渡し、認証や管理トラフィックの処理など）に配置されています。侵害されたファイアウォールやルーターは、侵入口、監視ポスト、攻撃リレーの役割を同時に果たすことができます。Evooo1Botの持つ拡散、リモート管理、傍受、プロキシ、DDoSの組み合わせにより、脆弱な各デバイスは運用者がオンデマンドで再利用可能な資産へと変貌してしまいます。

防御側のチェックリスト

• インターネットから到達可能なすべての資産を棚卸しする、そしてモデルやファームウェアを今回のキャンペーンのCVEと照合します—ただし、エクスプロイトのカタログは変化するため、公開されたリストの確認だけで終わらせないでください。
• リモート管理インターフェースを無効化する 不要な機能。リモートアクセスが必要な場合は、グローバルに公開するのではなく、VPN、管理ネットワーク、または厳格な許可リストの背後に配置してください。
• デフォルトおよび使い回されている認証情報を変更する、特にSSHやアプライアンス管理用アカウント。
• 原因不明のアウトバウンドポート443接続を監視する （すべての443ポートを遮断するのは非現実的なため、宛先、証明書の挙動、プロトコルを調査）、 TCP 1080での予期しないリスナー、5分ごとにダウンロードを行うcronジョブ、不審なsystemd/SysVサービス、次の編集： /etc/rc.local または /etc/profile.d、一時ディレクトリ内の不審な実行ファイル、および /tmp/.sniff.log.
• 次への接続を調査する： 91.92.40[.]118. Fortinetは2つのSHA-256インジケーターも公開しています： f13cb360768363d3424e2192c7805b8c8015eb8706dbbbcdead6aed8cf390109 および 4c0886349e9d348569fffe1b7a31e474d514508bf0cd6f1e5dd99c2a73525e4d。攻撃者はバイナリ、ホスティング先、ファイル名を素早く変更するため、インジケーターは恒久的な対策ではなく、調査の手がかりとして扱ってください。
• 侵害が確認された場合： アプライアンスを隔離し、証拠を収集し、機器がアクセス可能だったすべての認証情報やセッションが漏洩したと想定してください。信頼できるシステムからパスワードを変更し、アクティブなセッションを無効化し、プロキシトラフィックやラテラルムーブメント（横方向移動）のログを確認します。 サポート対象外のハードウェアを交換する — 1つの脆弱性にパッチを適用しても、他の脆弱性が多数存在したり、アップデートの提供が終了しているアプライアンスの根本的な解決にはなりません。

2026年においてこれが重要である理由

Evooo1Botは、Miraiのソース流出から10年が経過した今でもそれが有用であることを示していますが、これは単なるDDoSの焼き直しではありません。Miraiのフラッディング機能に永続化、認証情報の傍受、エクスプロイトの自動化、および暗号化されたSOCKS5リレーを融合させることで、開発者は脆弱なLinuxエッジデバイスを、直接攻撃と隠蔽アクセスの両方に利用できる柔軟なプラットフォームへと変貌させました。防御側にとっての教訓は、ありふれたルーターやカメラはもはや低価値な標的ではなく、持続的で多目的な足場であるということです。

結論

ここで最も重要な変化は概念的なものです。侵害されたエッジデバイスは単なるDDoSゾンビではなく、侵入口、盗聴器、プロキシを兼ね備えた再利用可能な犯罪インフラです。これに対する防御は、個々のバイナリを追跡することよりも、インターネットに公開されたアタックサーフェス（攻撃対象領域）を縮小することに重点を置く必要があります。公開されているものを把握し、リモート管理を遮断し、認証情報を適切に修正し、セキュリティアップデートが提供されなくなったハードウェアを交換することです。

メリット

• 主要な初期アクセス経路は 過去に公開された古いCVE — つまり、パッチ適用、許可リスト化、およびサポート終了（EOL）機器の廃棄によって確実に侵入を防げることを意味します。
• Fortinetは具体的な インジケーター （C2 IPと2つのファイルハッシュ）および検出すべき明確な挙動の兆候を公開しています。
• このマルウェアには 実際の実装上の欠陥 — 組み込まれたエクスプロイトのいくつかは機能しないかアーキテクチャが一致していないため、「メニュー」が示すほど実際の影響範囲は広くありません。
• そのアンチフォレンジック（Bash履歴の消去）は浅く、他にも十分なテレメトリ（ログや痕跡）が残ります。

デメリット

• 本マルウェアは 多目的かつ再利用可能 — 1つのインプラントでDDoS、プロキシ化、認証情報の窃取、自己増殖を実現します。
• 永続化手法が多層化されている （systemd、5分ごとのcron、rc.local、シェルプロファイル）ため、不完全な対策では再感染を引き起こします。
• この SOCKS5リレー は被害者の信頼されたIPを介して攻撃を偽装・中継し、下流でのブロックリスト登録や責任問題を引き起こします。
• 標的とするのは 企業やOTの認証情報であり、単なるIoTのデフォルト設定にとどまりません。また、 活発に開発が進められており 、エクスプロイトの構成も変化し続けています。

注意事項

本記事はFortinetのFortiGuard Labsによる公開レポートを要約したものであり、教育および防御の意識向上のみを目的としています。詳細、ハッシュ、インフラは急速に変化し、マルウェアにCVEが組み込まれているからといってシステムを確実に悪用できるとは限らないため、対策を講じる前にFortinetの公式アドバイザリおよびベンダー独自のガイダンスと照らし合わせて、CVEの該当性、侵害指標（IoC）、修復手順を確認してください。ここに記載されている単一のインジケーターを、独立した恒久的な対策として扱わないでください。

よくある質問

• Evooo1Botとは何ですか？ — 流出したMiraiのソースコードを一部ベースにしたLinuxボットネットであり、インターネットに面したデバイスを侵害して多目的な攻撃者インフラに変貌させます。
• これは新しいマルウェアですか、それとも単なるMiraiですか？ — 両方です。DDoSエンジンはMirai由来ですが、暗号化されたC2、永続化、対話型シェル、SSHスキャナー、認証情報の盗聴、およびSOCKS5リレーが追加されています。
• どのようにしてデバイスに感染するのですか？ — ゼロデイ脆弱性ではなく、ルーター、ファイアウォール、カメラにおいて何年も前から公開されている既知の脆弱性をスキャンして悪用することによって感染します。
• 通常のMiraiボットネットよりも危険なのはなぜですか？ — SOCKS5リレー（被害者のIPの背後に攻撃者を隠蔽）、認証情報の傍受、および多層化された永続化です。
• SOCKS5リレーは何に使用されますか？ — レピュテーションや不正検出の制御を回避するために、被害者の正規の家庭用または企業用IPを経由して攻撃、不正行為、スキャンをルーティングすることです。
• 認証情報を窃取しますか？ — はい。暗号化されていないHTTP AuthorizationヘッダーやCookieを盗聴し、次へ保存します： /tmp/.sniff.log.
• デバイスが感染しているかどうかはどうすれば分かりますか？ — TCP 1080番ポートでのリスナー、5分ごとにダウンロードを行うcronジョブ、偽装されたsystemdサービス、rc.local/profile.dの編集、一時ディレクトリ内の不審なバイナリ、 /tmp/.sniff.log、および報告されているC2へのアウトバウンド接続を確認してください。
• どのように防御すればよいですか？ — 公開されているデバイスへのパッチ適用または交換、リモート管理の無効化、デフォルト/使い回された認証情報の修正を行い、侵害されたアプライアンスは工場出荷時設定へのリセットまたはファームウェアの再インストールを行ってください。

情報源および参考文献

• 元となった分析の出典： Fortinet FortiGuard Labs — 完全な技術解説および現在のインジケーターについては、公式のFortiGuard脅威リサーチアドバイザリを参照してください。

タグ

#security #linux #iot #botnet #mirai #malware #cybersecurity #routers #ddos #threatintel