LONDON (IT BOLTWISE) – Ein neues, Mirai-abgeleitetes Botnet namens Tengu kann kompromittierte Linux-Geräte automatisch neu starten, selbst wenn Verteidiger den Hauptprozess beenden. Dafür missbraucht es einen Hardware-Watchdog: Wird er nicht mehr gefüttert, löst die Maschine einen Reboot aus und verschafft damit den nächsten Persistenzmechanismen erneut die Chance. Die Analyse zeigt außerdem Telnet-Credential-Brute-Force als Weg in die Honeypots sowie eine breite Funktionspalette bis hin zu DDoS- und Proxy-Einsatz. Unklar bleibt der reale Verbreitungsgrad, weil weder Betreiber noch konkrete Opferzahlen belegt sind.
Das Mirai-Ökosystem bekommt mit Tengu ein weiteres Schadprogramm, das nicht nur Geräte kompromittiert, sondern auch aktiv verhindert, dass das Löschen oder Beenden des Hauptprozesses die Incidents zuverlässig beendet. In der beobachteten Konfiguration setzt Tengu dabei auf eine Kombination aus klassischen Persistenzmethoden und einer Mechanik, die sich besonders gegen schnelle Gegenmaßnahmen richtet: Kommt es zum Kill des Hauptprozesses, kann ein hardwarebasierter Watchdog trotzdem einen Neustart auslösen. Damit wird aus einem „Process gone“ praktisch ein „kurzer Ausfall mit anschließendem Relaunch“, weil der Neustart den nächsten Schritten im Malware-Stick-Plan Vorschub leistet.
Technisch betrachtet ist der relevante Hebel der von Tengu missbrauchte Hardware-Watchdog-Device-Treiber. Ein Hintergrund-Worker, der sich als Prozess wie „kworker/0:0“ tarnt, öffnet den Watchdog, konfiguriert ungefähr einen 30-Sekunden-Timeout und sendet Keepalive-Signale nur dann, wenn der principal malware process noch lebt. Sobald Verteidiger den Hauptprozess stoppen, stoppt faktisch auch das Füttern des Watchdogs; der Timeout läuft ab und das Gerät rebootet. Damit ist die „Kill-and-done“-Strategie, die bei vielen Mirai-Abkömmlingen noch relativ gut funktioniert, hier nur ein Zwischenschritt, der den Zustand wieder in Richtung der wiederholten Ausführung dreht.
Parallel dazu nutzt Tengu eine Reihe weiterer Persistenzpfade, die in einem typischen Linux- und Init-Umfeld „andocken“. Das Schadprogramm legt unter anderem einen detached guardian an, der die Existenz des Hauptprozesses regelmäßig prüft und bei Stopp die installierte Binary erneut startet. Zusätzlich kann Tengu eine gefälschte systemd-Service-Unit erstellen, Init- und RC-Skripte anpassen, Shell-Startup-Dateien verändern und die eigene Binary per „immutable“ Markierung absichern, sodass spätere Änderungen durch Standardtools erschwert werden. Es existiert außerdem eine cron-basierte Routine; in der Analyse wirkt die Referenz auf „/proc/self/exe“ jedoch als unvollständig oder fehlerhaft, was darauf hindeutet, dass einzelne Persistenzbausteine je nach Build/Umgebung unterschiedlich ausreifen könnten.
Auch auf der Eingangsseite zeigt die Untersuchung ein sehr praxisnahes Bild: In Honeypots wurde der Dropper über Telnet erreicht, und zwar durch Credential-Brute-Force. Damit knüpft Tengu an einen der häufigsten Schwachpunkte der Mirai-Vererbung an – offen erreichbare Verwaltungsoberflächen mit Default- oder schwachen Passwörtern. Zusätzlich wird eine breite Funktionsmatrix genannt: Tengu unterstützt 25 verteilte DDoS-Methoden, kann einen SOCKS5-Proxy betreiben, Shell-Kommandos ausführen und System- sowie Netzwerkdaten sammeln. Es kann sich zudem selbst aktualisieren und weitere Payloads nachladen, wobei die Analyse für mehrere Architektur-Varianten samplebasiert ist (i386, amd64, MIPS, ARM, PowerPC und m68k) und zusätzlich einen Pfad für Executables im ELF-Format sowie für Android-Pakete (APK) beschreibt.
Bei der Kommando- und Steuerkommunikation fällt die Mischung aus Klartext und „custom authenticated encryption“ auf: Registrierung, Heartbeats und Command-Ausgaben werden plaintext über TCP Port 9931 gesendet, während Serverkommandos und Updates über ein ChaCha20/Poly1305-ähnliches Authentifizierungsverfahren geschützt werden. Auffällig ist außerdem der Bezug zu einem Content-Delivery-Mechanismus über IPFS: Tengu kann von einem IPFS-Gateway auf derselben C2-Infrastruktur einen Content-Identifier erhalten, den resultierenden Content als ELF oder APK validieren und anschließend ausführen oder installieren. Für den APK-Pfad hält die Analyse zwar eine Zielrichtung auf schlecht abgesicherte Android-Set-Top-Boxen (beispielsweise Android TV) für wahrscheinlich, dokumentiert jedoch keine bestätigten Android-Zielgeräte. Die C2-Adresse wurde in der Analyse als 64[.]89.163.8:9931 angegeben; ob der Dienst tatsächlich erreichbar war, konnte weder durch die betrachtete Studie noch durch separate Telemetrie sicher belegt werden.
Für die Einordnung in den „Realwelt“-Kontext ist entscheidend, was bisher nicht vorliegt: In der Darstellung werden weder Betreibername noch konkrete Opferzahlen genannt. URLhaus konnte unabhängig zwar 17 Malware-URLs mit Bezug auf die gleiche Ziel-IP im Zeitraum ab 17. Juni 2026 erfassen, aber diese Datensätze identifizieren die Dateien nicht als Tengu. Außerdem passten die in den URLhaus-Einträgen genannten SHA-256-Hashes am 28. Juli nicht zu dem in der Analyse beschriebenen Sample-Hash, sodass die Telemetrie im Kern nur zeigt, dass dort bösartige Mirai-nahe Inhalte gehostet wurden – nicht, dass es sich exakt um denselben Tengu-Build handelt. Gleichzeitig sind die 17 URLs zum Stichtag offline gewesen, und die jüngsten Payload-Einträge wurden bereits am 7. Juli erstmals beobachtet. Für Sicherheitsverantwortliche heißt das: Die Bedrohungslage lässt sich nicht über eine reine „Hash-Match“-Strategie absichern, sondern verlangt Kontextanalyse zur Infektionskette, Persistenz und Kommunikationsindikatoren.
Als Gegenmaßnahmen nennt die Analyse eine Reihe von Schritten, die gerade wegen der Watchdog-Mechanik praktisch sind. Zuerst sollte Telnet und jede nicht zwingend benötigte Administrationsschnittstelle aus dem Internet entfernt und durch robuste Authentifizierung ersetzt werden; default credentials sind in diesem Setup ein direkter Eintrittsweg. Zusätzlich empfiehlt die Untersuchung Firmware-Updates, eine stärkere Segmentierung von IoT-Netzwerken sowie eine systematische Überprüfung der Systemstartkette: systemd-Services, Init-Skripte, Shell-Startup-Dateien und cron-relevante Pfade gehören dazu, bevor ein verdächtiges Gerät wieder in den Betrieb geht. Genau diese Reihenfolge ist wichtig, weil ein „nur Prozess killen“ bei Tengu durch den Hardware-Watchdog leicht zu einem Neustart führt, der die Persistenzmechanismen anschließend weiterarbeiten lässt.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Tengu-Botnet nutzt Hardware-Watchdog für Reboots nach Prozesskill" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Tengu-Botnet nutzt Hardware-Watchdog für Reboots nach Prozesskill" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Tengu-Botnet nutzt Hardware-Watchdog für Reboots nach Prozesskill« bei Google Deutschland suchen, bei Bing oder Google News!