Uma nova botnet chamada Tengu está infectando dispositivos de Internet das Coisas e sistemas Linux embarcados para executar ataques de negação de serviço, redirecionar tráfego e manter acesso persistente. A ameaça é uma versão modernizada do malware Mirai.
A infecção observada começa por ataques de força bruta contra serviços Telnet expostos. Após descobrir credenciais válidas, um script baixa pela internet a versão do malware compatível com a arquitetura do equipamento.
O Tengu utiliza comunicação parcialmente criptografada com o servidor de comando e controle. Os operadores podem executar comandos, coletar informações do sistema e da rede, atualizar o implante e transformar o dispositivo em um proxy SOCKS5.
A botnet possui 25 métodos de ataque DDoS, incluindo inundações UDP, TCP e ICMP. Também pode atingir serviços HTTP, DNS, NTP, SSH, SMTP, FTP, SIP, Minecraft e servidores baseados nos protocolos Source Engine e Quake.
O principal diferencial está nos mecanismos de persistência e autoproteção. Um processo secundário verifica o malware a cada 60 segundos e o reinicia caso seja encerrado. Serviços falsos do systemd e scripts de inicialização também ajudam a reativar a ameaça.
A botnet ainda manipula o watchdog do equipamento para provocar uma reinicialização quando seu processo é removido. Além disso, pode corromper programas legítimos de desligamento e eliminar malwares concorrentes que disputam o controle do mesmo dispositivo.
