Tengu: Ein Mirai-Botnet, das den Hardware-Watchdog umleitet, um bei jedem Neustart wiederzubeleben

Nozomi Networks Labs dokumentiert Tengu, ein Multi-Architektur-Linux-Botnet, das den Kernel-Watchdog missbraucht und die Reboot-Binärdateien neu schreibt, um Reinigungsversuchen zu widerstehen - alles gesteuert über ChaCha20/Poly1305.

Die Fakten

Nozomi Networks Labs veröffentlichte am 27. Juli 2026 die Analyse eines neuen Linux-Botnets namens Tengu, abgeleitet von der Mirai-Familie. Der Malware zielt auf sieben kompilierte Architekturen ab: i386, amd64, MIPS, ARM, PowerPC, m68k und ein APK-Payload für Android-TV-Boxen - also das gesamte IoT/SOHO-Ökosystem und einen großen Teil der exponierten Linux-Server.

Der initiale Zugriff bleibt klassisch: Brute-Force-Telnet mit Standard-Anmeldedaten. Was sich ändert, ist das, was danach kommt.

Die Analyse - vier verschachtelte Persistenzschichten

Nozomi beschreibt vier Persistenzmechanismen, die gestapelt sind, darunter ein besonders ungewöhnlicher:

1. Guardian-Prozess - ein Wächterprozess, der das Hauptbinary alle 60 Sekunden überprüft und es neu startet, falls es abstürzt.
2. Falscher systemd-Dienst, manipulierte init/RC-Skripte, Änderungen in den Shell-Startdateien (.bashrc, .profile).
3. Missbrauch des Hardware-Watchdogs - das ist der originelle Teil. Ein Worker tarnt sich als [kworker/0:0], öffnet das Watchdog-Device (/dev/watchdog), aktiviert es mit einem Timeout von ~30 Sekunden und sendet die Keepalives nur, solange der Hauptprozess des Malwares läuft. Übersetzung: Wenn ein Verteidiger das Binary mit kill -9 beendet, wird der Hardware-Watchdog nicht mehr aktualisiert → die Maschine startet nach 30 Sekunden automatisch neu, und Tengu startet mit ihr neu.
4. Sabotage der reboot/shutdown-Binaries - die ELF-Header von reboot und shutdown werden durch die Zeichenfolge ELFOOD überschrieben, was ein sauberes Herunterfahren zur Untersuchung verhindert.

Der C2 läuft über TCP/9931 zu 64.89.163.8, mit authentifizierter Verschlüsselung vom Typ ChaCha20/Poly1305 (das Registrierungs-/Heartbeat-Protokoll bleibt jedoch im Klartext - ein interessanter Angriffswinkel für Verteidiger). Angegebene Fähigkeiten: 25 DDoS-Methoden, SOCKS5-Proxy, Remote-Shell-Ausführung, System-/Netzwerk-Erfassung, Auto-Update und Payload-Rückgewinnung über IPFS-Gateway.

Was sich ändert

Der Linux-Kernel-Watchdog ist ein legitimer Baustein: Er startet eine blockierte Maschine neu. Der Angreifer kehrt diese Funktion in Anti-Forensik um: Jeder aktive Eingriff wird zu einem Auslöser für einen Neustart, was die Speichersicherung stört, SSH-Sitzungen trennt und den tmpfs löscht. Dies ist ein Muster, das man selten in klassischen Mirai-ähnlichen Malware findet und das sich wahrscheinlich verbreiten wird.

Der C2 im Klartext für die Registrierung hinterlässt eine ausnutzbare Netzwerksignatur (Regex auf die ersten TCP/9931-Austausche), auch wenn der operative Kanal verschlüsselt ist.

Was jetzt zu tun ist

Encadré - zu tun jetzt

• Telnet (Port 23) im Internet schließen, ohne Ausnahme.
• Alle Standard-Anmeldedaten ersetzen, einschließlich bei IP-Kameras, DVRs, SOHO-Routern und Android-TV-Boxen.
• Systemd-Dienste, init-Skripte, cron, .bashrc/.profile auditieren - Tengu versteckt sich überall.
• Prozesse [kworker/*] erkennen, die /dev/watchdog ohne berechtigten Zugriff öffnen (das ist ein Anti-Muster).
• IoT-VLANs vom Rest der IT segmentieren.
• Ausgehende Verbindungen zu 64.89.163.8:9931 blockieren, bis die vollständigen IOCs von Nozomi vorliegen.

Wenn eine Maschine während einer Untersuchung von selbst neu startet, ist das kein zu ignorierender Bug - das ist ein IOC.