# CloudSEK deckt Doorway-Botnetz auf: gekaperte Router und Kameras werden zur Proxy-Flotte

*Sicherheitsvorfall · 02.11.2026*

CloudSEK hat eine Analyse des Botnetzes „Doorway“ veröffentlicht, einer modularen Rust-Engine zum Scannen und Ausliefern von Schadcode, die internetfähige Geräte kompromittiert und zu einem Proxy-Netzwerk macht. Laut CloudSEK enthielten zwei offen erreichbare Staging-Server rund 41 GB Betriebsdaten, darunter Quellcode, eine Zugangsdatenbank, Opfer-Logs und Playbooks der Betreiber.

**Was die Daten zeigen**

- Der Scan lief laut den gefundenen Dateien vom 19. September bis 19. Oktober 2026. Als CloudSEK die Daten analysierte, war die Operation noch aktiv.
- Das Botnetz griff Router, IP-Kameras, optische Netzabschlussgeräte und Java-Server in Unternehmen über 59 Exploit-Module und Standard-Zugangsdaten an.
- CloudSEK bestätigt 7.369 erfolgreiche MikroTik/RouterOS-Anmeldungen auf 4.923 Geräten. Auf den kompromittierten Routern richten die Skripte SOCKS-Proxy-Dienste ein, über die fremder Datenverkehr durch die Internetanschlüsse der Opfer geleitet wird.
- Die Daten enthalten außerdem 1.060 PPPoE-Teilnehmerdatensätze eines einzelnen Internetanbieters.
- Die Betreiber-Ledger nennen höhere Zahlen, etwa 11.363 Geräte-Beitritte in einer Stunde. CloudSEK kennzeichnet diese als selbst gemeldet und nicht unabhängig geprüft.

**Zuordnung**

CloudSEK verknüpft die Infrastruktur mit einer Gruppe, die sich „the team“ nennt. Eine Zuordnung zu einem Staat oder einem bestimmten kriminellen Syndikat gibt es nicht. Die Befunde deuten auf eine finanziell motivierte Gruppe hin, die ein Proxy-Netz zum Weiterverkauf aufbaut; die kommerzielle Verwertung ist laut CloudSEK nicht bestätigt.

**Bedeutung für Proxy-Kunden**

Residential- und ISP-Proxys können aus Verbrauchergeräten stammen, die ohne Wissen der Eigentümer übernommen wurden. Dasselbe Risiko zeigte der GreyNoise-Bericht zu Pawns.app (siehe der frühere Artikel dazu). Käufer sollten Anbieter fragen, woher ihre Exit-IPs stammen. CloudSEK empfiehlt, die genannten Kommando- und Beacon-Adressen zu sperren und Router auf unautorisierte SOCKS-Dienste zu prüfen.

Quellen: [CloudSEK, Doorway-Botnet-Analyse](https://www.cloudsek.com/blog/doorway-botnet-global-iot-router-camera-enterprise-server-attacks); [SecurityOnline, Rust Doorway botnet exploits routers, cameras, and servers](https://securityonline.info/doorway-botnet-rust-iot-servers).

## Quellen

- [CloudSEK: Doorway-Botnet-Analyse](https://www.cloudsek.com/blog/doorway-botnet-global-iot-router-camera-enterprise-server-attacks)
- [SecurityOnline: Rust Doorway botnet exploits routers, cameras, and servers](https://securityonline.info/doorway-botnet-rust-iot-servers)

---

- **Kanonische URL:** https://cryptoproxiess.com/de/news/doorway-botnet-router-proxy-flotte-cloudsek/
- **Stand:** 02.11.2026
- **Datenlizenz:** CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/)

Bitte zitieren: Quelle: cryptoproxiess.com (cryptovss), Stand 02.11.2026, https://cryptoproxiess.com/de/news/doorway-botnet-router-proxy-flotte-cloudsek/