Tengu: Das neue Linux-Botnetz, das den Hardware-Watchdog missbraucht, um unaufhaltsam zu sein

Einführung

Am 27. Juli 2026 haben Forscher von Nozomi Networks die Analyse eines neuen Botnetzes mit dem Namen Tengu veröffentlicht, einer weiteren Weiterentwicklung des berüchtigten Mirai. Die Malware verbreitet sich über Brute-Force-Angriffe auf Telnet und zielt auf Linux-Geräte, die im Internet exponiert sind – Router, IP-Kameras, Android-TV-Boxen – und verfügt über ein Arsenal von 25 DDoS-Techniken, einen SOCKS5-Proxy, Befehlsausführung, Datensammlung und Selbstaktualisierung. Die eigentliche Neuheit ist jedoch ein mehrstufiges Persistenzsystem, das sogar den Hardware-Watchdog des Geräts missbraucht und die Infektion außergewöhnlich schwer zu beseitigen macht.

Technische Analyse

Tengu ist eine modulare Malware, die mit den Architekturen i386, amd64, MIPS, ARM, PowerPC und m68k kompatibel ist. Nachdem schwache oder voreingestellte Telnet-Anmeldeinformationen erzwungen wurden, lädt sie den Haupt-Payload herunter und kontaktiert den C2-Server unter der Adresse 64[.]89.163.8 auf Port 9931. Registrierung und Heartbeat werden im Klartext übertragen, während Befehle und Updates mit einem benutzerdefinierten Schema verschlüsselt sind, das an ChaCha20/Poly1305 erinnert. Zur Verteilung weiterer Module nutzt Tengu ein IPFS-Gateway, das auf demselben Server gehostet wird, was die Ausfallsicherheit des Downloads erhöht.

Operative Fähigkeiten

• 25 DDoS-Methoden, sowohl volumetrisch als auch auf Anwendungsebene.
• SOCKS5-Proxy zur Anonymisierung bösartigen Datenverkehrs.
• Ausführung beliebiger Shell-Befehle mit Root-Rechten.
• Datensammlung über System und Netzwerk (Fingerprinting).
• Selbstaktualisierung und Download zusätzlicher Payloads, einschließlich ELF-Dateien für Linux und APKs für Android (nützlich, um Smart-TV-Boxen oder ähnliche Geräte zu kompromittieren).

Redundante Persistenz Tengu verfügt über mindestens fünf Anker:

1. Wächterprozess – überprüft den Hauptprozess alle 60 Sekunden und startet ihn neu, wenn er fehlt.
2. Gefälschter systemd-Dienst und init/RC-Skripte, die in den üblichen Systempfaden abgelegt werden.
3. Änderung der Shell-Startdateien (.bashrc, .profile usw.), um die Malware bei jeder Anmeldung auszuführen.
4. Unveränderliches Attribut – die schädliche Binärdatei wird mit chattr +i markiert, um versehentliches Löschen zu verhindern.
5. Cron-Routine (in den analysierten Proben möglicherweise unvollständig) für einen periodischen Neustart.

Missbrauch des Hardware-Watchdogs Der raffinierteste Trick betrifft den Hardware-Watchdog, einen physischen Timer, der das System zum Neustart zwingt, wenn der Kernel ihn nicht mehr „füttert“ (normalerweise durch Schreiben auf /dev/watchdog). Tengu erzeugt einen gefälschten kworker-Prozess, der den Watchdog nur so lange am Leben hält, wie die Malware läuft. Wenn ein Administrator den bösartigen Prozess entdeckt und beendet, wird der Watchdog nicht mehr bedient und erzwingt nach etwa 30 Sekunden einen Neustart. Beim Booten lassen die anderen Persistenzmechanismen die Infektion wieder aufleben und machen oberflächliche Entfernungsversuche zunichte.

Sabotage der Systembefehle Um die manuelle Wiederherstellung weiter zu erschweren, überschreibt Tengu die ELF-Header wichtiger ausführbarer Dateien wie reboot, shutdown und ähnlicher mit der Zeichenkette „ELFOOD“. Die Befehle werden dadurch unbrauchbar und lassen den Administrator ohne Werkzeuge für einen kontrollierten Neustart zurück.

Auswirkungen

Zum Zeitpunkt der Analyse (Ende Juli 2026) wurden keine Masseninfektionen oder direkte, Tengu zuzuschreibende DDoS-Angriffe beobachtet. Seine Fähigkeiten geben jedoch Anlass zu ernster Sorge: Kompromittierte Geräte können in DDoS-Botnetze eingegliedert, als Proxy für illegale Aktivitäten genutzt, zum Datenabfluss missbraucht und als Verteilungsstelle für weitere Malware (einschließlich bösartiger APKs) verwendet werden. Die extreme Ausfallsicherheit erschwert Reinigungsmaßnahmen und verlängert die Verweildauer des Angreifers. URLhaus hat seit dem 17. Juni 2026 17 mit der C2-IP verbundene bösartige URLs aufgeführt, die alle am 28. Juli offline waren; ein direkter Zusammenhang mit den Tengu-Proben ist jedoch nicht bestätigt.

Gegenmaßnahmen

Die Verteidigung gliedert sich in Prävention und sorgfältige Entfernung.

Prävention

• Deaktivieren Sie den Internetzugriff auf Telnet und alle nicht unbedingt erforderlichen administrativen Dienste.
• Ersetzen Sie alle voreingestellten Anmeldeinformationen durch starke, eindeutige Passwörter.
• Aktualisieren Sie die Firmware regelmäßig und isolieren Sie IoT-Geräte in segmentierten Netzen (dedizierte VLANs).

Bereinigung Bei Verdacht auf Kompromittierung sollten Sie das Gerät vor der Wiederinbetriebnahme:

• Überprüfen und bereinigen Sie die systemd-Dienste (/etc/systemd/system/), die init-Skripte (/etc/init.d/), die Shell-Konfigurationsdateien (.bashrc, .profile, /etc/profile usw.) und die Cron-Einträge (/etc/cron*, /var/spool/cron).
• Überprüfen Sie mit lsattr auf unveränderliche Attribute und entfernen Sie diese (chattr -i).
• Stellen Sie beschädigte System-Executables wieder her, indem Sie sie z.B. aus einem Backup ersetzen oder das ursprüngliche Paket neu installieren.
• Überwachen Sie den Datenverkehr zu 64[.]89.163.8 und die von Nozomi veröffentlichten SHA‑256-Hashes (derzeit sind in den URLhaus-Datenbanken keine übereinstimmenden Hashes vorhanden).

FAQ

1. Was ist das Tengu-Botnetz und wie verbreitet es sich? Tengu ist eine Variante der Mirai-Malware, die über Telnet Linux-/IoT-Geräte mit schwachen Anmeldeinformationen angreift. Nach der Installation bietet sie zahlreiche Funktionen (DDoS, Proxy, Befehlsausführung) und verwendet ein äußerst hartnäckiges Persistenzsystem, das den Hardware-Watchdog missbraucht.

2. Warum macht der Hardware-Watchdog Tengu so schwer zu entfernen? Die Malware erzeugt einen gefälschten kworker-Prozess, der den Watchdog nur so lange füttert, wie der bösartige Prozess aktiv ist. Wird dieser beendet, erhält der Watchdog keine Signale mehr und erzwingt nach etwa 30 Sekunden einen Neustart des Geräts. Beim Neustart stellen die anderen Persistenzmechanismen (Skripte, Cron, systemd) die Infektion wieder her, sodass das einfache Löschen der Binärdatei nicht ausreicht.

3. Wie kann ich meine Geräte vor dieser Bedrohung schützen? Die erste Verteidigungslinie besteht darin, Telnet und andere administrative Dienste nicht im Internet zu exposen, starke Passwörter zu verwenden, die Firmware aktuell zu halten und IoT-Netze zu segmentieren. Bei Verdacht auf eine Infektion ist eine gründliche Reinigung erforderlich, die alle Anker (systemd, init, Shell, Cron) entfernt und die veränderten Systembefehle wiederherstellt.