텐구 : 하드웨어 워치독을 탈취하는 Mirai 봇넷으로, 재부팅 시마다 되살아난다

노조미 네트워크스 랩스는 Tengu라는 리눅스 멀티-아키텍처 봇넷을 문서화했습니다. 이 봇넷은 커널 워치독을 악용하고 재부팅 바이너리를 재작성하여 청소 시도에도 살아남으며, ChaCha20/Poly1305로 제어됩니다.

사실

Nozomi Networks Labs는 2026년 7월 27일 Mirai 계열에서 파생된 새로운 Linux 봇넷 Tengu에 대한 분석을 발표했다. 이 악성코드는 i386, amd64, MIPS, ARM, PowerPC, m68k 등 7가지 아키텍처와 안드로이드 TV 박스를 위한 APK 페이로드까지 총 7가지 컴파일 버전을 타깃으로 한다. 즉, IoT/SOHO 생태계 전체와 노출된 리눅스 서버 대부분을 겨냥한 것이다.

초기 접근 방식은 평범하다:Telnet을 통한 기본 인증 정보 무차별 대입 공격이다. 달라진 점은 그 이후다.

분석 - 4단계 중첩된 지속성 메커니즘

Nozomi는 4가지 지속성 메커니즘이 중첩된 구조를 설명하는데, 그중 하나가 특히 이례적이다:

1. Guardian process - 메인 바이너리를 60초마다 감시하며, 다운되면 재시작하는 감시 프로세스
2. systemd 가짜 서비스, init/RC 스크립트 탈취, 셸 시작 파일(.bashrc, .profile) 수정
3. 하드웨어 와치독 남용 - 가장 독특한 부분. 워커가 자신을 [kworker/0:0]으로 위장해 하드웨어 와치독 장치(/dev/watchdog)를 열고 약 30초 타임아웃으로 무장시킨 뒤 메인 악성코드 프로세스가 살아 있는 동안에만 keepalive 신호를 보낸다. 즉, 방어자가 바이너리를 kill -9로 종료하면 하드웨어 와치독이 갱신되지 않아 30초 후 시스템이 자동 재부팅되고 Tengu가 함께 재시작된다.
4. 재부팅/종료 바이너리Sabotage - reboot과 shutdown ELF 헤더가 ELFOOD 문자열로 덮어씌워져 깨끗한 종료를 방해한다.

C2는 TCP/9931 포트를 통해 64.89.163.8로 연결되며 ChaCha20/Poly1305(커스텀 구현)으로 인증된 암호화를 사용한다(등록/하트비트 프로토콜은 평문으로 남아 있어 방어자에게 흥미로운 공격 포인트가 된다). 제공되는 기능: DDoS 25가지 방법, SOCKS5 프록시, 원격 셸 실행, 시스템/네트워크 정보 수집, 자체 업데이트, gateway IPFS를 통한 페이로드 다운로드.

변화하는 위협

리눅스 커널 와치독은 정당한 기능으로 시스템이 멈췄을 때 재부팅을 수행한다. 공격자는 이 기능을 안티포렌식Anti-forensics으로 역이용한다: 능동적 대응은 재부팅을 유발하는 트리거가 되어 메모리 덤프 수집을 방해하고 SSH 세션을 끊으며 tmpfs를 삭제한다. 이는 일반적인 Mirai 계열에서는 드물게 나타나며 앞으로 확산될 가능성이 크다.

C2의 평문 등록 프로토콜은 TCP/9931 초기 교환 패턴(정규 표현식)으로 탐지 가능한 네트워크 시그니처를 남긴다. 반면 운영 채널은 암호화되어 있다.

지금 해야 할 일

**

• 인터넷에서 Telnet(포트 23)을 완전히 차단하라.
• 카메라 IP, DVR, SOHO 라우터, 안드로이드 TV 박스를 포함해 모든 기본 인증 정보를 교체하라.
• systemd 서비스, init 스크립트, cron, .bashrc/.profile을 감사하라—Tengu는 어디에든 숨어 있을 수 있다.
• /dev/watchdog를 불법적으로 여는 [kworker/*] 프로세스를 탐지하라(이는 안티패턴Anti-pattern이다).
• IoT VLAN을 나머지 SI와 분리하라.
• Nozomi의 완전한 IOC가 나올 때까지 64.89.163.8:9931로의 아웃바운드 차단을 유지하라.

조사 도중 시스템이 스스로 재부팅된다면, 이는 무시할 버그가 아니라 IOC로 간주해야 한다.