Tengu : la nouvelle botnet Linux qui exploite le watchdog matériel pour devenir inarrêtable

Introduction

Le 27 juillet 2026, les chercheurs de Nozomi Networks ont publié l’analyse d’une nouvelle botnet baptisée Tengu, énième évolution du célèbre Mirai. Le malware se propage par brute‑force sur Telnet et cible les équipements Linux exposés sur Internet – routeurs, caméras IP, boîtiers Android TV – en embarquant un arsenal de 25 techniques DDoS, proxy SOCKS5, exécution de commandes, collecte de données et auto‑mise à jour. La véritable nouveauté réside toutefois dans un système de persistance multi‑niveaux qui va jusqu’à asservir le watchdog matériel du périphérique, rendant l’infection extrêmement difficile à éradiquer.

Analyse technique

Tengu est un malware modulaire compatible avec les architectures i386, amd64, MIPS, ARM, PowerPC et m68k. Après avoir forcé des identifiants Telnet faibles ou par défaut, il télécharge la charge utile principale et contacte le serveur C2 à l’adresse 64[.]89.163.8 sur le port 9931. L’enregistrement et le heartbeat transitent en clair, tandis que les commandes et les mises à jour sont chiffrées avec un schéma personnalisé rappelant ChaCha20/Poly1305. Pour distribuer des modules supplémentaires, Tengu s’appuie sur une passerelle IPFS hébergée sur ce même serveur, renforçant ainsi la résilience du téléchargement.

Capacités opérationnelles

• 25 méthodes DDoS volumétriques et applicatives.
• Proxy SOCKS5 pour anonymiser le trafic malveillant.
• Exécution de commandes shell arbitraires avec privilèges root.
• Collecte de données système et réseau (fingerprinting).
• Auto‑mise à jour et téléchargement de charges additionnelles, y compris des fichiers ELF pour Linux et des APK pour Android (utiles pour compromettre des smart TV box ou équipements similaires).

Persistance redondante Tengu dispose d’au moins cinq ancrages :

1. Processus gardien – surveille le processus principal toutes les 60 secondes et le relance s’il est absent.
2. Faux service systemd et scripts init/RC placés dans les chemins système standards.
3. Altération des fichiers de démarrage shell (.bashrc, .profile, etc.) pour exécuter le malware à chaque connexion.
4. Attribut immuable – le binaire malveillant est marqué avec chattr +i, empêchant toute suppression accidentelle.
5. Routine cron (probablement incomplète dans les échantillons analysés) pour une réactivation périodique.

Détournement du watchdog matériel L’astuce la plus ingénieuse concerne le watchdog matériel, un minuteur physique qui force le redémarrage du système si le noyau cesse de l’« alimenter » (généralement via une écriture sur /dev/watchdog). Tengu crée un faux processus kworker qui maintient le watchdog actif uniquement tant que le malware est en cours d’exécution. Si un administrateur repère et tue le processus malveillant, le watchdog n’est plus nourri et, après environ 30 secondes, provoque un redémarrage brutal. Au démarrage, les autres mécanismes de persistance relancent l’infection, rendant vaines les tentatives superficielles de suppression.

Sabotage des commandes système Pour entraver davantage la reprise en main manuelle, Tengu écrase les en-têtes ELF d’exécutables critiques tels que reboot, shutdown et assimilés avec la chaîne « ELFOOD ». Ces commandes deviennent inutilisables, privant l’administrateur de tout moyen de redémarrer le système de façon contrôlée.

Impact

Au moment de l’analyse (fin juillet 2026), aucune infection massive ni attaque DDoS directe imputable à Tengu n’a été observée. Cependant, ses capacités suscitent de sérieuses préoccupations : les appareils compromis peuvent être enrôlés dans des botnets DDoS, utilisés comme proxy pour des activités illicites, exposés à l’exfiltration de données et transformés en relais de distribution pour d’autres malwares (y compris des APK malveillants). L’extrême résilience complique les opérations de remédiation et prolonge la durée de présence de l’attaquant. URLhaus a recensé 17 URL malveillantes liées à l’IP C2 depuis le 17 juin 2026, toutes hors ligne au 28 juillet ; aucun lien direct avec les échantillons de Tengu n’a toutefois été confirmé.

Remédiation

La défense repose sur une prévention minutieuse et une suppression en profondeur.

Prévention

• Désactiver l’accès depuis Internet à Telnet et à tout autre service d’administration non essentiel.
• Remplacer tous les identifiants par défaut par des mots de passe robustes et uniques.
• Maintenir les firmwares à jour et isoler les équipements IoT dans des réseaux segmentés (VLAN dédiés).

Nettoyage En cas de compromission suspectée, avant de remettre l’appareil en service :

• Vérifier et nettoyer les services systemd (/etc/systemd/system/), les scripts init (/etc/init.d/), les fichiers de configuration des shells (.bashrc, .profile, /etc/profile, etc.) et les entrées cron (/etc/cron*, /var/spool/cron).
• Contrôler la présence d’attributs immuables avec lsattr et les supprimer (chattr -i).
• Restaurer les exécutables système endommagés, par exemple en les remplaçant à partir d’une sauvegarde ou en réinstallant le paquet d’origine.
• Surveiller le trafic à destination de 64[.]89.163.8 et les hachages SHA‑256 publiés par Nozomi (pour l’heure aucun hachage correspondant n’est référencé dans URLhaus).

FAQ

1. Qu’est-ce que la botnet Tengu et comment se propage-t-elle ? Tengu est une variante du malware Mirai qui attaque via Telnet les équipements Linux/IoT dotés d’identifiants faibles. Une fois installée, elle offre de multiples fonctionnalités (DDoS, proxy, exécution de commandes) et met en œuvre un système de persistance extrêmement tenace, incluant le détournement du watchdog matériel.

2. Pourquoi le watchdog matériel rend-il Tengu si difficile à éliminer ? Le malware crée un faux processus kworker qui nourrit le watchdog uniquement lorsque le processus malveillant est actif. Si ce dernier est terminé, le watchdog n’est plus alimenté et force le redémarrage du dispositif après environ 30 secondes. Au redémarrage, les autres mécanismes de persistance (scripts, cron, systemd) rétablissent l’infection, rendant la simple suppression du binaire inefficace.

3. Comment protéger mes équipements contre cette menace ? La première ligne de défense consiste à désactiver l’exposition sur Internet de Telnet et des autres services d’administration, à utiliser des mots de passe robustes, à maintenir les firmwares à jour et à segmenter les réseaux IoT. En cas d’infection suspectée, une remédiation approfondie est indispensable pour supprimer tous les ancrages (systemd, init, shell, cron) et restaurer les commandes système altérées.