C0XMO-Botnetz: Neue Malware mit 19 DDoS-Methoden auf Linux

Sicherheitsforscher entdecken die Linux-Malware C0XMO mit modularem Aufbau, 19 DDoS-Methoden und eBPF-Tarnung.

Juni eine neue Version des Gafgyt-Botnetzes entdeckt. Die als C0XMO bezeichnete Schadsoftware zielt auf Linux-basierte Umgebungen ab – insbesondere auf Router, IoT-Geräte und Server. Das Besondere: Die Malware trennt ihre Scan- und Verbreitungsfunktionen in separate Komponenten auf.

Anzeige

Während professionelle Angreifer gezielt Linux-Infrastrukturen ins Visier nehmen, bietet das System für Privatanwender dennoch enorme Sicherheitsvorteile gegenüber Windows. Wie Sie Ubuntu ohne Risiko und parallel zu Ihrem aktuellen System testen, zeigt dieses kostenlose Startpaket inklusive Vollversion. Linux-Startpaket mit Ubuntu jetzt gratis anfordern

Modulare Angriffsstruktur

C0XMO nutzt Python-basierte Scanner, um verwundbare Ziele über mehrere Linux-Architekturen hinweg aufzuspüren. Ist ein Gerät identifiziert, setzt das Botnetz plattformübergreifende Payloads ein, die mit verschiedenen Hardware-Konfigurationen kompatibel sind. Den ersten Zugriff verschafft sich die Malware über die Sicherheitslücke CVE-2021-27137 – einen Stack-basierten Pufferüberlauf im UPnP-SSDP-Parser von DD-WRT-Routern.

19 DDoS-Methoden und ausgefeilte Tarnung

Das Botnetz ist mit 19 verschiedenen Verfahren für Distributed-Denial-of-Service-Angriffe (DDoS) ausgestattet. Zur dauerhaften Kontrolle infizierter Systeme setzt C0XMO auf Cron-Jobs und Modifikationen von Shell-Profilen. Besonders raffiniert: Die Malware verwendet ein eBPF-basiertes Rootkit zur Verschleierung und eliminiert gezielt konkurrierende Schadsoftware auf dem befallenen System, um sich exklusiven Zugriff zu sichern.

Anzeige

Die wachsende Komplexität von Cyber-Bedrohungen erfordert ein fundiertes Verständnis der eingesetzten Betriebssysteme. Mit diesem praktischen PDF-Report erstellen Sie in wenigen Minuten einen Boot-Stick, um eine sichere Linux-Umgebung risikofrei und ohne Installation direkt auf Ihrem PC auszuprobieren. Kostenlosen Ratgeber zum Ubuntu Boot-Stick herunterladen

Wachsende Bedrohungslage für Linux-Systeme

Die Entdeckung von C0XMO reiht sich in eine Serie aktueller Bedrohungen für Linux- und Container-Umgebungen ein. Bereits am 2. Juni hatte die US-Cybersicherheitsbehörde CISA die Schwachstelle CVE-2022-0492 im Linux-Kernel in ihren Katalog bekannter ausgenutzter Sicherheitslücken aufgenommen. Der Fehler ermöglicht lokale Rechteausweitung und Container-Ausbrüche.

Anfang Juni entdeckten Forscher zudem die Rust-basierte Malware IronWorm, die sich über bösartige npm-Pakete verbreitet. Sie stiehlt Zugangsdaten, Wallet-Seeds und API-Schlüssel für KI-Dienste.

Schutzmaßnahmen für Administratoren

Sicherheitsexperten haben mehrere Indikatoren für eine Kompromittierung identifiziert, darunter die IP-Adressen 217.160.125.125 und 176.100.37.91. Sie empfehlen Administratoren von Linux-Infrastrukturen, ihre Systeme auf nicht autorisierte Cron-Jobs zu überprüfen und Router-Firmware zu aktualisieren, um die für den Erstzugriff genutzten UPnP-Schwachstellen zu schließen.