La botnet Tengu, una nuova variante derivata da Mirai, sta attirando attenzione nella cybersecurity per una tecnica di autodifesa insolita su dispositivi Linux compromessi. In pratica, quando un difensore termina il processo principale del malware, Tengu può forzare il riavvio del sistema sfruttando il watchdog hardware di Linux.
Questo comportamento rende più difficile la rimozione, perché al reboot entrano in gioco altri meccanismi di persistenza che tentano di rilanciare automaticamente il binario malevolo.
L’infezione osservata avviene tramite brute force delle credenziali Telnet, un vettore ancora comune in ambienti IoT e in apparati esposti su Internet. Una volta eseguito, Tengu implementa un guardiano separato che controlla periodicamente lo stato del processo principale e lo riavvia se viene interrotto. Oltre a questo, il malware può creare un falso servizio systemd, aggiungere script di avvio in init e RC, modificare file di startup della shell e rendere il proprio binario immutabile, aumentando la resistenza alla bonifica. È presente anche una persistenza basata su cron, ma alcune parti sembrano incomplete.
Abuso del watchdog hardware
La componente più interessante è l’abuso del watchdog. Un worker in background si camuffa con un nome simile a un processo di sistema e imposta un timeout di circa 30 secondi sul dispositivo watchdog. Finché il processo principale è attivo, invia segnali di keepalive. Se il processo viene ucciso, il keepalive si interrompe e il watchdog provoca il reboot, offrendo a Tengu una nuova opportunità di ripartire.
Funzionalità e capacità operative
Dal punto di vista funzionale, Tengu supporta numerosi metodi DDoS, può avviare un proxy SOCKS5, eseguire comandi shell, raccogliere informazioni di rete e di sistema, aggiornarsi e scaricare altri payload in formato ELF o APK, suggerendo un interesse anche per dispositivi Android poco protetti come alcuni TV box. Sono stati identificati campioni per molte architetture, tra cui i386, amd64, MIPS, ARM, PowerPC e m68k.
Mitigazioni consigliate
- Rimuovere l’esposizione di Telnet e di altri servizi amministrativi non necessari.
- Sostituire le credenziali di default con password robuste e uniche.
- Aggiornare firmware e software per ridurre vulnerabilità note.
- Segmentare le reti IoT per limitare movimenti laterali e impatto.
- Verificare attentamente la persistenza controllando servizi systemd, script di init/RC, file di avvio della shell e percorsi legati a cron prima di rimettere in produzione un dispositivo sospetto.