新たな Mirai 系ボットネット Evooo1Bot：侵害したエッジ・デバイスを永続的なプロキシへと変換

New Mirai-Based Linux Botnet ‘Evooo1Bot’ Turns Victims Into Proxies

2026/08/14 InfoSecurity — Mirai ボットネットから流出したソース・コードを基盤とする新たなモジュール型 Linux ボットネット・ファミリーが、エッジ・デバイスに存在する複数の脆弱性に対する悪用試行との関連で確認されている。台湾を拠点とする Fortinet の FortiGuard Labs のセキュリティ研究者 Yi Ping (Cara) Lin が、この新たなボットネット・ファミリーに関する分析を 8月13日に発表した。すべてのバイナリにおいて埋め込まれた文字列 “evooo1” が発見されたことから、このボットネットは Evooo1Bot と名付けられた。

以下の脆弱性に対する悪用が観測されたことを受け、このボットネットが発見された。

  • CVE-2007-3010：Alcatel OmniPCX Enterprise のリモートコード実行 (RCE) 脆弱性。
  • CVE-2016-6277：NETGEAR の複数ルーターに存在するリモートコード実行 (RCE) 脆弱性。
  • CVE-2018-14558：Tenda AC7／AC9／AC10 ルーターのコマンド・インジェクション脆弱性。
  • CVE-2019-14931：Mitsubishi Electric Europe B.V. ME-RTU デバイス／INEA ME-RTU デバイスのリモート・コマンド・インジェクション脆弱性。
  • CVE-2020-10987：Tenda AC1900 ルーター AC15 モデルのリモートコード実行 (RCE) 脆弱性。
  • CVE-2021-46422：Telesquare SDT-CW3B1 のコマンド・インジェクション脆弱性。
  • CVE-2022-37055：D-Link ルーターのバッファ・オーバーフロー脆弱性。
  • CVE-2024-29269：Telesquare TLR-2005KSH のコマンド・インジェクション脆弱性。
  • CVE-2025-10123：D-Link DIR-823X のコマンド・インジェクション脆弱性。
  • CVE-2025-55583：D-Link DIR-868L B1 ルーターのコマンド・インジェクション脆弱性。

これらの悪用試行で確認されたペイロードからのコールバックは、いずれも Evooo1Bot に関連付けられた同一のローダー URL “91.92.40[.]118/wget.sh” を指し示している。このボットネットは 2026年7月以降に、インターネットに公開されているデバイスを活発に標的とし、さまざまな地域で複数の脆弱性を悪用してきたと、Yi Ping Lin は評価している。

高度化した Mirai 系ボットネット Evooo1Bot

Evooo1Bot は、Mirai のソース・コードに含まれる分散型サービス拒否 (DDoS) 攻撃エンジンを再利用している。Mirai 自体はデフォルトの認証情報を使用して Internet of Things (IoT) デバイスに感染し、それらを巨大なネットワーク、つまりボットネットへ組み込んで大規模な DDoS 攻撃を仕掛ける、悪名高いマルウェアである。

2016年9月、Hack Forums で Anna-senpai と名乗るユーザーによって Mirai のソース・コードが公開され、その後、広く流出した。その後に FBI は、この人物が大学生 Paras Jha であり、共同開発者 Josiah White／Dalton Norman とともに Mirai を開発していたことを突き止めた。

当初の Mirai は、Minecraft サーバーを標的とし、DDoS 防御サービスを販売する目的で構築されていた。法執行機関による追跡が迫る中、開発者たちは Web 上に大量の偽情報やノイズを発生させ、自身の身元を隠すためコードを公開した。その結果、彼らの意図とは別に無数の現代的なマルウェア亜種が生み出され、これらの亜種は現在も Mirai の DDoS 攻撃エンジンを再利用している。

Evooo1Bot の開発者も Mirai のコードを基盤としているが、多数の機能を追加してマルウェアを大幅に拡張している。

  • 暗号化されたコマンド・アンド・コントロール (C2) 通信、および 28 個のコマンドを備える遠隔管理インターフェース。
  • SSH ブルートフォース・スキャナー。
  • リバース SOCKS リレー・モジュール。
  • AES-256-CTR／ChaCha20／XOR ベースの鍵導出を使用する複数層の文字列難読化。
  • 認証情報スニファー。
  • IoT デバイス／ネットワーク機器／エンタープライズ・アプリケーションに存在する複数の既知の脆弱性を標的とする、統合型エクスプロイト群。

Lin が強調するのは、SOCKS リレー・モジュールがその運用において最も重要な機能であり、このモジュールによって侵害したエッジ・デバイスを永続的なプロキシとして利用できるようになる点である。それにより、攻撃者が実際の接続元を隠蔽し、内部ネットワークへの侵入を拡大するとともに、被害者のインフラを経由した後続の作戦が実行される。

Yi Ping Lin は、「これらの機能により、Evooo1Bot は従来の Mirai 派生マルウェアの技術的水準を大きく上回っている」と記している。

Evooo1Bot による、エッジデバイスの脆弱性悪用の動向と対策情報を紹介する記事です。Alcatel OmniPCX Enterprise や NETGEAR、Tenda、D-Link などのルーターやネットワーク機器において、複数の重大な脆弱性が悪用の対象となっています。これらの脆弱性を介して侵害されたエッジデバイスが、外部からの不正なプロキシへと変更され、攻撃インフラとして悪用されるリスクが生じます。対応策としては、ファームウェアの迅速な更新／管理用インターフェースへのアクセス制限／認証情報の強化が求められます。