Tengu : un botnet Mirai qui détourne le watchdog matériel pour ressusciter à chaque reboot

Nozomi Networks Labs documente Tengu, un botnet Linux multi-architectures qui abuse du watchdog kernel et réécrit les binaires de reboot pour survivre aux tentatives de nettoyage - le tout piloté en ChaCha20/Poly1305.

Les faits

Nozomi Networks Labs a publié le 27 juillet 2026 l'analyse d'un nouveau botnet Linux baptisé Tengu, dérivé de la famille Mirai. Le malware cible sept architectures compilées : i386, amd64, MIPS, ARM, PowerPC, m68k et un payload APK pour les box Android TV - autrement dit tout l'écosystème IoT/SOHO plus une bonne partie des serveurs Linux exposés.

L'accès initial reste classique : bruteforce Telnet sur des identifiants par défaut. Ce qui change, c'est ce qui vient après.

L'analyse - quatre couches de persistance imbriquées

Nozomi décrit quatre mécanismes de persistance empilés, dont un particulièrement inhabituel :

1. Guardian process - un processus veilleur qui contrôle le binaire principal toutes les 60 secondes et le relance s'il tombe.
2. Faux service systemd, scripts init/RC détournés, modifications des fichiers de démarrage shell (.bashrc, .profile).
3. Abus du watchdog matériel - c'est la partie originale. Un worker se déguise en [kworker/0:0], ouvre le device watchdog (/dev/watchdog), l'arme avec un timeout de ~30 secondes, et n'envoie les keepalives que tant que le processus principal du malware tourne. Traduction : si un défenseur kill -9 le binaire, le watchdog matériel n'est plus rafraîchi → la machine reboot toute seule au bout de 30 secondes, et Tengu redémarre avec elle.
4. Sabotage des binaires reboot/shutdown - les en-têtes ELF de reboot et shutdown sont écrasés par la chaîne ELFOOD, empêchant un arrêt propre pour investiguer.

Le C2 tourne sur TCP/9931 vers 64.89.163.8, en chiffrement authentifié type ChaCha20/Poly1305 maison (le protocole d'enregistrement/heartbeat reste, lui, en clair - angle d'attaque intéressant pour les défenseurs). Capacités annoncées : 25 méthodes DDoS, proxy SOCKS5, exécution shell distante, collecte système/réseau, auto-update et récupération de payload via gateway IPFS.

Ce que ça change

Le watchdog kernel Linux est une brique légitime : il redémarre une machine bloquée. L'attaquant retourne cette fonctionnalité en anti-forensique : toute intervention active devient un déclencheur de reboot, ce qui perturbe la capture mémoire, coupe les sessions SSH et efface le tmpfs. C'est un pattern qu'on retrouve rarement dans les Mirai-likes classiques et qu'on va probablement voir se propager.

Le C2 en plaintext pour l'enregistrement laisse une signature réseau exploitable (regex sur les premiers échanges TCP/9931), même si le canal opérationnel est chiffré.

Que faire maintenant

Encadré - à faire maintenant

• Fermer Telnet (port 23) sur l'internet, sans exception.
• Remplacer tous les identifiants par défaut, y compris sur caméras IP, DVR, routeurs SOHO et box Android TV.
• Auditer les services systemd, scripts init, cron, .bashrc/.profile - Tengu se planque partout.
• Détecter les processus [kworker/*] qui ouvrent /dev/watchdog sans droit légitime (c'est un anti-pattern).
• Segmenter les VLANs IoT du reste du SI.
• Bloquer sortant vers 64.89.163.8:9931 en attendant les IOC complets de Nozomi.

Si une machine reboot toute seule en pleine investigation, ce n'est plus un bug à ignorer - c'est un IOC.