Um novo botnet derivado do código-fonte do Mirai, batizado de Tengu, chamou a atenção da empresa de cibersegurança Nozomi Networks Labs ao adotar técnicas inéditas de autodefesa e persistência. O malware infecta equipamentos operados por Linux e dispositivos de Internet das Coisas (IoT) ao explorar o temporizador de hardware da própria máquina (hardware watchdog). Caso o processo principal da ameaça seja encerrado por analistas ou ferramentas de proteção, o sistema é forçado a reiniciar.
O reinício do sistema operacional concede às outras rotinas de persistência instaladas pelo Tengu a oportunidade de reexecutar o código malicioso. “A maioria das variantes do Mirai implementa poucas ou nenhuma dessas capacidades de autodefesa”, destacaram os pesquisadores da Nozomi, no relatório publicado nesta semana.
Invasão e instalação
A porta de entrada observada nos ambientes de teste da consultoria ocorreu por meio de ataques de força bruta contra credenciais de acesso via serviço Telnet. Após a invasão inicial, o malware baixa o arquivo correspondente ao sistema e inicia uma série de rotinas para se consolidar no ambiente.
Para manipular o temporizador de hardware, o Tengu cria um processo secundário disfarçado de rotina do sistema e envia sinais de vida apenas enquanto a aplicação principal permanece ativa. Se o processo central for interrompido, o envio do sinal cessa e o hardware força a reinicialização automática do aparelho.
)
