Auf den Punkt: Tengu kombiniert Hardware-Watchdog-Missbrauch mit mehreren Persistenzmechanismen zu einem Selbstschutzsystem, das eine Beendigung durch Defender durch erzwungene Neustarts kompromittierter Linux-Geräte rückgängig macht.
Nozomi Networks Labs hat am 27. Juli 2026 das Tengu-Botnet analysiert, eine Mirai-Variante, die den Hardware-Watchdog kompromittierter Linux-Geräte missbraucht, um die Ausführung der Malware automatisch zu sichern. Das Botnet kombiniert mehrere Persistenzmechanismen und bietet 25 DDoS-Angriffsmethoden.
Tengu versteckt einen Überwachungsprozess unter dem Namen kworker/0:0, der den Hardware-Watchdog des Geräts aktiviert und mit einem Zeitfenster von etwa 30 Sekunden konfiguriert. Solange der Malware-Hauptprozess läuft, sendet dieser Wächter-Prozess kontinuierlich Signale an den Watchdog. Beendet ein Defender den Hauptprozess, bleiben diese Signale aus und der Watchdog erzwingt einen Neustart des Geräts – worauf die anderen Persistenzmechanismen die Malware erneut laden.
Neben diesem Watchdog-Mechanismus beschreiben die Forscher eine abgekoppelte Überwachungsroutine, die den Hauptprozess alle 60 Sekunden prüft und die Binärdatei bei Bedarf neu startet. Tengu erzeugt zudem gefälschte systemd-Dienste, ergänzt Init- und RC-Skripte, modifiziert Shell-Startdateien, markiert die Binärdatei als unveränderlich und nutzt cron-basierte Persistenz. Nozomi hebt hervor, dass diese Kombination aus Persistenz- und Selbstschutzfunktionen unter Mirai-Varianten ungewöhnlich ist. Die Schadsoftware trägt auch fest einprogrammierte Neustart- und Herunterfahr-Befehle mit sich, deren ELF-Header sie mit der Zeichenfolge ELFOOD überschreibt, um reguläre Sicherheitskommandos zu stören.
Tengu verbreitet sich über Telnet-Bruteforce-Angriffe und unterstützt 25 verschiedene DDoS-Angriffsmethoden. Die Malware betreibt SOCKS5-Proxys, führt Shell-Befehle aus und sammelt System- sowie Netzwerkdaten. Sie kann sich selbst aktualisieren und weitere Schadprogramme in ELF- oder Android-APK-Format nachladen. Nozomi identifizierte architekturspezifische Varianten für i386, amd64, MIPS, ARM, PowerPC und m68k, was auf ein breites Zielspektrum hindeutet.
Die Kommunikation mit dem Kontrollserver erfolgt über TCP-Port 9931 zur IP 64.89.163.8. Registrierung und Statusmeldungen sind unverschlüsselt, Befehle und Updates nutzen hingegen ein an ChaCha20/Poly1305 angelehntes Verschlüsselungsverfahren. Tengu kann vom Server eine Kennung von einem InterPlanetary-File-System-Gateway (IPFS) auf demselben Server abrufen, das Ergebnis validieren und dann ausführen oder installieren. Der APK-Pfad zielt nach Einschätzung von Nozomi insbesondere auf unzureichend gesicherte Android-TV-Boxen und ähnliche Geräte. Der Bericht nennt weder konkrete Hersteller, Gerätemodelle, Betreiber noch tatsächliche Infektionszahlen oder dokumentierte DDoS-Opfer – es werden damit die Fähigkeiten der Schadsoftware demonstriert, ohne Aussage zur tatsächlichen Verbreitung zu treffen.
Quelle: www.it-daily.net · Erschienen 30. Juli 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.7.3.