Botnet Tengu (Mirai biến thể) dùng watchdog để khởi động lại khi bị dừng tiến trình
"Researchers reported a new Mirai-derived Linux botnet named Tengu that uses multiple persistence methods, including a hardware watchdog abuse that reboots infected devices when defenders kill its main process. The malware supports 25 DDoS methods, SOCKS5 proxying, command execution, self-update, and payload retrieval, but the report did not identify a CVE, vendor, or confirmed victim count; recommended remediation includes removing Telnet exposure, changing default credentials, updating firmware, and reviewing persistence locations."
Tác động chính đến khả năng duy trì kiểm soát: hardware watchdog giúp malware sống sót ngay cả khi tiến trình chính bị dừng; đồng thời có persistence đa lớp và hỗ trợ DDoS/proxy.
Nguy cơ gián đoạn dịch vụ và tăng chi phí vận hành do thiết bị có thể reboot liên tục khi bị xử lý, kèm khả năng tham gia DDoS và phát sinh sự cố trên mạng IoT.
Các nhà nghiên cứu ghi nhận một botnet Linux biến thể từ Mirai có tên Tengu. Điểm đáng chú ý là cơ chế lợi dụng hardware watchdog để buộc thiết bị nhiễm reboot khi bộ phòng thủ kết thúc tiến trình chính của malware; sau đó các cơ chế persistence khác có thể được kích hoạt để khởi chạy lại.
Theo quan sát của Nozomi Networks Labs, Tengu có thể xâm nhập qua Telnet bằng brute force mật khẩu mặc định và triển khai nhiều phương thức duy trì hoạt động, bao gồm guardian tách tiến trình, tạo dịch vụ giả kiểu systemd, chỉnh script khởi động/init và cấu hình shell, đồng thời có routine dựa trên cron. Malware cũng hỗ trợ 25 phương thức DDoS, chạy SOCKS5 proxy, thực thi lệnh, thu thập dữ liệu hệ thống/mạng, tự cập nhật và tải payload dạng ELF hoặc APK.
Mẫu phân tích được cấu hình liên lạc C2 qua TCP 9931 tại 64[.]89.163.8; dữ liệu đăng ký/heartbeat/command output gửi plaintext, còn lệnh và cập nhật dùng lược đồ mã hóa xác thực kiểu ChaCha20/Poly1305. URLhaus ghi nhận 17 URL độc hại liên quan địa chỉ này từ 17/06/2026, nhưng không xác nhận chúng là Tengu.
Khuyến nghị: tắt Telnet và loại bỏ dịch vụ quản trị không cần thiết, đổi mật khẩu mặc định, cập nhật firmware, phân đoạn mạng IoT và rà soát systemd/init/cron cùng các vị trí persistence trước khi đưa thiết bị trở lại vận hành.