Tengu: la nuova botnet Linux che abusa del watchdog hardware per rendersi inarrestabile

Introduzione

Il 27 luglio 2026 i ricercatori di Nozomi Networks hanno pubblicato l’analisi di una nuova botnet soprannominata Tengu, ennesima evoluzione del famigerato Mirai. Il malware si diffonde tramite brute‑force su Telnet e prende di mira dispositivi Linux esposti in rete – router, telecamere IP, Android TV box – dotandosi di un arsenale di 25 tecniche DDoS, proxy SOCKS5, esecuzione comandi, raccolta dati e auto‑aggiornamento. La vera novità è però un sistema di persistenza multi‑livello che arriva ad asservire il watchdog hardware del dispositivo, rendendo l’infezione eccezionalmente difficile da estirpare.

Analisi tecnica

Tengu è un malware modulare compatibile con architetture i386, amd64, MIPS, ARM, PowerPC e m68k. Dopo aver forzato credenziali Telnet deboli o predefinite, scarica il payload principale e contatta il server C2 all’indirizzo 64[.]89.163.8 sulla porta 9931. Registrazione e heartbeat viaggiano in chiaro, mentre comandi e aggiornamenti sono cifrati con uno schema personalizzato che ricorda ChaCha20/Poly1305. Per distribuire ulteriori moduli, Tengu sfrutta un gateway IPFS ospitato sullo stesso server, aumentando la resilienza del download.

Capacità operative

• 25 metodi DDoS volumetrici e a livello applicativo.
• Proxy SOCKS5 per anonimizzare traffico malevolo.
• Esecuzione comandi shell arbitrari con privilegi di root.
• Raccolta dati di sistema e rete (fingerprinting).
• Auto‑aggiornamento e download di payload aggiuntivi, inclusi file ELF per Linux e APK per Android (utili a compromettere smart TV box o dispositivi simili).

Persistenza ridondante Tengu dispone di almeno cinque ancoraggi:

1. Processo guardiano – controlla il processo principale ogni 60 secondi e lo riavvia se assente.
2. Falso servizio systemd e script init/RC collocati nei percorsi standard di sistema.
3. Modifica dei file di avvio shell (.bashrc, .profile, etc.) per eseguire il malware a ogni login.
4. Attributo immutabile – il binario malevolo viene marcato con chattr +i, impedendone la cancellazione accidentale.
5. Routine cron (probabilmente incompleta nei campioni analizzati) per un riavvio periodico.

Abuso del watchdog hardware La trovata più ingegnosa riguarda il watchdog hardware, un timer fisico che forza il riavvio del sistema se il kernel smette di “nutrirlo” (tipicamente scrivendo su /dev/watchdog). Tengu crea un finto processo kworker che mantiene vivo il watchdog solo finché il malware è in esecuzione. Se un amministratore individua e uccide il processo malevolo, il watchdog non viene più alimentato e, dopo circa 30 secondi, provoca un riavvio forzato. Al boot, gli altri meccanismi di persistenza riportano in vita l’infezione, vanificando i tentativi superficiali di rimozione.

Sabotaggio dei comandi di sistema Per ostacolare ulteriormente il ripristino manuale, Tengu sovrascrive gli header ELF di eseguibili critici come reboot, shutdown e simili con la stringa “ELFOOD”. I comandi diventano così inutilizzabili, lasciando l’amministratore senza strumenti per un riavvio controllato.

Impatto

Al momento dell’analisi (fine luglio 2026) non sono state osservate infezioni di massa né attacchi DDoS diretti attribuibili a Tengu. Tuttavia, le sue capacità destano seria preoccupazione: i dispositivi compromessi possono essere arruolati in botnet DDoS, usati come proxy per attività illecite, esposti a esfiltrazione dati e trasformati in punto di distribuzione per ulteriori malware (compresi APK malevoli). L’estrema resilienza complica gli interventi di bonifica e prolunga il tempo di permanenza dell’attaccante. URLhaus ha censito 17 URL malevoli legati all’IP C2 a partire dal 17 giugno 2026, tutti offline al 28 luglio; non è tuttavia confermata una correlazione diretta con i campioni Tengu.

Mitigazione

La difesa si articola su prevenzione e rimozione meticolosa.

Prevenzione

• Disabilitare l’accesso da Internet a Telnet e a ogni altro servizio amministrativo non indispensabile.
• Sostituire tutte le credenziali predefinite con password robuste e uniche.
• Aggiornare regolarmente il firmware e isolare i dispositivi IoT in reti segmentate (VLAN dedicate).

Bonifica In caso di sospetta compromissione, prima di rimettere in servizio il dispositivo:

• Verificare e ripulire i servizi systemd (/etc/systemd/system/), gli script init (/etc/init.d/), i file di configurazione delle shell (.bashrc, .profile, /etc/profile ecc.) e le voci cron (/etc/cron*, /var/spool/cron).
• Controllare la presenza di attributi immutabili con lsattr e rimuoverli (chattr -i).
• Ripristinare gli eseguibili di sistema danneggiati, ad esempio sostituendoli da backup o reinstallando il pacchetto originario.
• Monitorare il traffico verso 64[.]89.163.8 e gli hash SHA‑256 pubblicati da Nozomi (al momento non risultano hash corrispondenti nei database URLhaus).

FAQ

1. Cos’è la botnet Tengu e come si diffonde? Tengu è una variante del malware Mirai che attacca via Telnet dispositivi Linux/IoT con credenziali deboli. Una volta installata, offre molteplici funzionalità (DDoS, proxy, esecuzione comandi) e adotta un sistema di persistenza estremamente tenace, incluso l’abuso del watchdog hardware.

2. Perché il watchdog hardware rende Tengu così difficile da rimuovere? Il malware crea un finto processo kworker che nutre il watchdog solo finché il processo malevolo è attivo. Se questo viene terminato, il watchdog non riceve più segnali e forza il riavvio del dispositivo dopo circa 30 secondi. Al riavvio, gli altri meccanismi di persistenza (script, cron, systemd) ripristinano l’infezione, rendendo insufficiente la semplice cancellazione del binario.

3. Come posso proteggere i miei dispositivi da questa minaccia? La prima linea di difesa consiste nel disabilitare l’esposizione su Internet di Telnet e altri servizi amministrativi, utilizzare password robuste, mantenere il firmware aggiornato e segmentare le reti IoT. In caso di infezione sospetta, è necessario un intervento di pulizia profonda che rimuova tutti gli ancoraggi (systemd, init, shell, cron) e ripristini i comandi di sistema alterati.