Scoperta Tengu: la nuova botnet Mirai che si riavvia da sola per sfuggire agli antivirus

La nuova botnet Mirai Tengu è stata scoperta da Nozomi Networks Labs. Il malware possiede un insolito meccanismo di riavvio di emergenza e può eseguire attacchi DDoS e altre azioni maliziose

Nozomi Networks Labs ha scoperto una nuova botnet Mirai, denominata Tengu, e segnala che il malware sottostante possiede un insolito meccanismo di riavvio di emergenza. Mentre il processo principale del malware è in esecuzione, invia regolarmente segnali di sistema. Se il processo termina, i segnali cessano e il dispositivo si riavvia dopo circa 30 secondi.

I ricercatori riferiscono che gli honeypot dell’azienda hanno rilevato il dropper Tengu mentre tentava di forzare le credenziali Telnet. Questo malware supporta 25 tipi di attacchi DDoS, può implementare un proxy SOCKS5, eseguire comandi shell, raccogliere informazioni di sistema e di rete, aggiornarsi e scaricare ulteriori file ELF o APK.

Sono stati rilevati singoli campioni di malware per i386, amd64, MIPS, ARM, PowerPC e m68k, ma gli esperti non hanno ancora collegato gli attacchi di Tengu a specifici produttori o modelli di dispositivi.

Dopo aver penetrato il dispositivo, il malware crea uno speciale processo “watchdog” che controlla il suo stato una volta al minuto e riavvia il binario installato se questo si arresta in modo anomalo. Per garantire la persistenza, Tengu crea anche un’istanza fittizia di systemd, aggiunge script init e rc, modifica i file di avvio della shell e contrassegna il proprio binario come immutabile.

Ma la caratteristica più insolita di Tengu è legata al suo meccanismo di riavvio di emergenza. Il malware sfrutta il timer watchdog , progettato per proteggere i dispositivi dal blocco e utilizzato quando è necessario un riavvio forzato. In condizioni normali, il sistema operativo invia regolarmente segnali a questo timer, confermando che tutto funzioni correttamente.

Tuttavia, uno dei componenti di Tengu crea un processo in background separato che si maschera da thread di sistema [kworker/0:0] e invia un segnale al timer watchdog ogni pochi secondi. Se il malware viene rilevato e il suo processo principale viene terminato forzatamente, [kworker/0:0] smette di inviare segnali. Di conseguenza, il timer watchdog presume che il dispositivo sia bloccato ed esegue un riavvio forzato, dopo il quale vengono attivati i meccanismi di persistenza del malware e Tengu si riavvia.

Allo stesso tempo, Tengu impedisce agli amministratori di riavviare o spegnere il dispositivo infetto. Per fare ciò, il malware rileva le utilità di sistema responsabili dello spegnimento e del riavvio e ne modifica le intestazioni ELF, scrivendovi la stringa “ELFOOD”.

“La maggior parte delle varianti di Mirai fa scarso o nessun uso di tali meccanismi di autodifesa”, osservano i ricercatori.

È stato inoltre scoperto che Tengu poteva ottenere ID di file aggiuntivi dal server di comando e controllo degli aggressori, verificare che l’oggetto scaricato fosse un file ELF o APK e quindi eseguirlo o installarlo.

Secondo gli esperti di Nozomi, tali payload APK potrebbero essere stati destinati a box Android TV e altri dispositivi simili scarsamente protetti, ma gli esperti non hanno trovato alcuna infezione confermata su dispositivi Android.

Luigi Zullo

Ricercatore di sicurezza informatica con esperienza nell’analisi delle vulnerabilità, nella mitigazione del rischio cyber, nelle attività di red teaming ed ethical hacking e nella protezione di sistemi complessi. Specializzato in penetration testing e Threat Intelligence, contribuisce al rafforzamento della resilienza digitale di infrastrutture e reti aziendali.

Aree di competenza: Penetration Testing, Threat Intelligence, Red Teaming, Vulnerability Assessment, Incident Response