Tengu, uma botnet Mirai recém-observada, está tornando dispositivos IoT infectados muito mais difíceis de limpar. Ela visa sistemas Linux embarcados voltados para a internet, particularmente dispositivos que deixam serviços de administração remota como Telnet expostos. Uma vez instalada, o malware pode manter um dispositivo disponível para atividade maliciosa e transformar uma tentativa de remoção rotineira em um problema operacional.
Descoberta e escopo
A ameaça segue um roteiro familiar do Mirai, buscando dispositivos conectados fracamente protegidos, mas adiciona salvaguardas mais fortes contra interferência. Pesquisadores da Nozomi identificaram a capacidade incomum do malware de reiniciar um dispositivo IoT quando alguém tenta terminar seu processo malicioso.
A Nozomi disse em um relatório que o Tengu é projetado para resistir à remoção e manter o acesso após o comprometimento. Esse comportamento aumenta o risco para organizações que assumem que reiniciar um dispositivo é suficiente para remover uma infecção. Um reinício pode interromper vigilância, comunicações ou processos de negócios enquanto dá aos administradores uma falsa sensação de que o dispositivo foi limpo.
Vetor e exploração
O Tengu monitora seu próprio estado de execução e verifica se seu código foi alterado. O malware lê informações de mapeamento de memória do sistema de arquivos proc Linux, calcula um valor SHA-256 de linha de base para parte de seu código e compara repetidamente o resultado para identificar adulteração. Ele também verifica mapeamentos de memória graváveis que podem indicar atividade de análise ou modificação.
Quando o bot detecta que um operador tentou parar ou alterar o malware, ele pode acionar um reinício do dispositivo infectado. Essa reação pode remover rastros temporários do esforço de resposta falho e perturbar a pessoa tentando a limpeza. Isso também significa que respondedores de incidentes podem perder acesso a evidências voláteis se não as coletarem antes de tomar ação.
Impacto e alcance
Os métodos de persistência do malware adicionam outra camada de dificuldade. Defensores investigando um sistema afetado devem examinar serviços systemd, scripts de inicialização, arquivos de inicialização de shell e locais relacionados ao cron antes de retornar um dispositivo ao serviço. Isso importa porque outras botnets Linux usaram systemd e tarefas agendadas para reter acesso após o comprometimento inicial.
O Tengu coloca principalmente dispositivos IoT e Linux embarcados expostos à internet em risco, especialmente aqueles com Telnet ou serviços administrativos desnecessários acessíveis de fora da rede. Ataques podem explorar práticas de credenciais ruins e gerenciamento de dispositivo fraco para ganhar um ponto de apoio.
Medidas de mitigação recomendadas
Organizações devem reduzir a exposição pública sempre que possível, desabilitar acesso remoto não utilizado e substituir senhas definidas de fábrica por credenciais fortes e únicas. O firmware deve ser mantido atualizado, enquanto dispositivos IoT devem ser separados de redes empresariais críticas para limitar o efeito de um comprometimento.
Equipes de segurança também devem observar conexões de saída inesperadas, tráfego de rede semelhante a proxy, nomes de processo estranhos e serviços fingindo ser componentes legítimos do sistema. Revisar locais de persistência antes de restaurar um dispositivo afetado é essencial.
O que os CISOs devem fazer imediatamente
- Isolar dispositivos IoT de redes críticas.
- Desabilitar Telnet e serviços de administração remota não essenciais.
- Monitorar tráfego de saída para conexões C2 suspeitas.
- Verificar persistência em systemd e cron antes de reiniciar.
Perguntas frequentes
Reiniciar o dispositivo remove o malware? Não, o Tengu reinicia o dispositivo para evitar a remoção e pode persistir após o reinício.
Qual firmware é afetado? Dispositivos Linux embarcados com Telnet exposto são os principais alvos.