Thought Leadership
Ein neues Mirai-Botnet namens Tengu nutzt den Hardware-Watchdog kompromittierter Linux-Geräte aus, um bei Bedarf einen Neustart zu erzwingen.
Nozomi Networks Labs hat am 27. Juli 2026 eine Analyse zu einem neuen, von Mirai abgeleiteten Botnet mit dem Namen Tengu veröffentlicht. Die Schadsoftware kann den in vielen Linux-Geräten eingebauten Hardware-Watchdog missbrauchen, um einen Neustart auszulösen, sobald Verteidiger den Hauptprozess der Malware beenden. Dazu tarnt sich ein im Hintergrund laufender Prozess als Kernel-Worker mit dem Namen kworker/0:0, öffnet bei Verfügbarkeit das Watchdog-Gerät erneut und aktiviert es mit einem Zeitfenster von rund 30 Sekunden.
Solange der Hauptprozess der Malware aktiv bleibt, sendet dieser Prozess fortlaufend Signale an den Watchdog. Wird der Hauptprozess jedoch beendet, bleiben diese Signale aus, sodass der Watchdog einen Neustart des Geräts auslöst. Im Anschluss erhalten die übrigen Persistenzmechanismen von Tengu eine neue Gelegenheit, die Schadsoftware erneut zu starten.
Nozomi bezeichnete gerade diese Kombination aus Persistenz- und Selbstschutzfunktionen als bemerkenswert. Die Forscher erklärten dazu: „Die meisten Mirai-Varianten implementieren nur wenige, wenn überhaupt, dieser Selbstschutzfähigkeiten.“ Neben dem Watchdog-Mechanismus legt die Schadsoftware nach dem Start einen abgekoppelten Überwachungsprozess an, der den Hauptprozess der Malware alle 60 Sekunden prüft und die installierte Binärdatei bei Bedarf neu startet. Zusätzlich kann Tengu einen gefälschten systemd-Dienst anlegen, Init- und RC-Skripte ergänzen, Shell-Startdateien verändern und die installierte Binärdatei als unveränderlich markieren. Eine cron-basierte Persistenzroutine ist ebenfalls vorhanden, wobei Nozomi darauf hinweist, dass ihr Verweis auf /proc/self/exe unfertig oder fehlerhaft wirkt.
Verbreitung über Telnet-Bruteforce und breites Funktionsspektrum
Nozomi beobachtete, wie der Dropper der Schadsoftware über Bruteforce-Angriffe auf Telnet-Zugangsdaten in eigenen Honeypots landete. Ist ein Gerät infiziert, unterstützt Tengu insgesamt 25 verschiedene Methoden für DDoS-Angriffe. Zusätzlich kann die Schadsoftware einen SOCKS5-Proxy betreiben, Shell-Befehle ausführen sowie System- und Netzwerkdaten sammeln.
Tengu ist zudem in der Lage, sich selbst zu aktualisieren und weitere Schadprogramme im ELF- oder Android-APK-Format nachzuladen. Nozomi identifizierte dabei architekturspezifische Varianten für i386, amd64, MIPS, ARM, PowerPC und m68k. Die Analyse benennt weder einen bestimmten Hersteller noch ein konkretes Gerätemodell, ebenso wenig einen Betreiber, eine Zahl infizierter Geräte oder tatsächliche Opfer von DDoS-Angriffen. Der Bericht zeigt damit die Fähigkeiten der Schadsoftware auf, macht jedoch keine Aussage über deren tatsächliche Verbreitung.
Tengu führt außerdem eine fest einprogrammierte Liste von Neustart- und Herunterfahr-Befehlen mit sich. Die zugehörigen ELF-Header überschreibt die Schadsoftware mit der Zeichenfolge ELFOOD, was reguläre Befehle stören kann, mit denen Verteidiger ein kompromittiertes Gerät eigentlich neu starten oder sicher herunterfahren wollen.
Kommunikation mit dem Kontrollserver und Verbindung zu IPFS
Das von Nozomi analysierte Sample war so konfiguriert, dass es über den TCP-Port 9931 mit einem Kontrollserver unter der Adresse 64.89.163.8 kommuniziert. Registrierung, Statusmeldungen und die Ausgabe von Befehlen erfolgen dabei unverschlüsselt, während Befehle und Updates vom Server über ein eigenes, an ChaCha20/Poly1305 angelehntes Verschlüsselungsverfahren gesichert werden. Tengu kann zudem eine vom Kontrollserver vorgegebene Kennung von einem InterPlanetary-File-System-Gateway (IPFS) auf demselben Server abrufen, das Ergebnis als ELF- oder APK-Datei validieren und anschließend ausführen oder installieren. Nozomi geht davon aus, dass der APK-Pfad vor allem auf unzureichend gesicherte Android-TV-Boxen oder ähnliche Geräte abzielt, dokumentierte hierfür jedoch keine bestätigten Opfer.
Der Sicherheitsdienst URLhaus verzeichnete unabhängig davon ab dem 17. Juni 2026 insgesamt 17 mit derselben Adresse verknüpfte Schadsoftware-URLs, darunter ein Shell-Skript, mehrere als Mirai eingestufte ELF-Dateien sowie eine APK-Datei. Die zuletzt erfassten Einträge stammen vom 7. Juli, alle 17 URLs waren zum 28. Juli offline. URLhaus ordnet die Funde dabei nicht explizit Tengu zu, keiner der bei URLhaus hinterlegten SHA-256-Hashwerte stimmte mit dem von Nozomi veröffentlichten Sample-Hash überein. Die Daten von URLhaus belegen damit lediglich schädliche, Mirai-verwandte Aktivität an dieser Adresse, nicht jedoch, ob der Kontrollserver auf Port 9931 oder das IPFS-Gateway auf Port 8080 tatsächlich erreichbar waren oder Befehle versendet wurden.
Empfohlene Schutzmaßnahmen für Linux-Geräte
Nozomi empfiehlt Betreibern betroffener Geräte, Telnet und andere nicht benötigte administrative Dienste aus dem Internet zu entfernen und werkseitig vergebene Zugangsdaten zu ersetzen. Zusätzlich raten die Forscher dazu, Firmware zu aktualisieren, IoT-Netzwerke zu segmentieren sowie systemd-Dienste, Init-Skripte, Shell-Startdateien und cron-bezogene Pfade zu überprüfen, bevor ein als kompromittiert eingestuftes Gerät wieder in Betrieb genommen wird.
(red)
