Un nouveau botnet dérivé de Mirai complique sérieusement le travail des défenseurs. Baptisé Tengu, il détourne le watchdog matériel des appareils Linux pour provoquer leur redémarrage dès que son processus principal est interrompu.
Repéré par Nozomi Networks Labs après des tentatives de connexion par force brute via Telnet, Tengu cible principalement les appareils Linux et IoT mal protégés. Le botnet peut lancer des attaques DDoS, transformer la machine en proxy SOCKS5, exécuter des commandes à distance ou télécharger de nouvelles charges. Sa principale particularité reste toutefois son dispositif de survie, beaucoup plus élaboré que celui de la plupart des variantes de Mirai.
Un redémarrage qui joue en faveur du malware
Dans le détail, Tengu s’appuie sur le watchdog matériel de l’appareil infecté, un dispositif présent dans de nombreux routeurs, boîtiers connectés et autres équipements embarqués. En temps normal, il sert à redémarrer automatiquement une machine qui ne répond plus. Pour éviter cela, le système lui envoie régulièrement un signal confirmant que tout fonctionne correctement.
Le malware détourne ce principe en confiant l’envoi de ces signaux à un processus secondaire camouflé derrière le nom d’un composant système. Le watchdog continue ainsi d’être alimenté tant que le processus principal de Tengu fonctionne. En revanche, dès qu’un administrateur l’interrompt, les signaux cessent et l’appareil redémarre automatiquement une trentaine de secondes plus tard, donnant aux autres mécanismes de persistance du botnet une nouvelle occasion de le relancer.
Pour préparer ce retour, Tengu peut se faire passer pour un service systemd lancé automatiquement avec le système, mais aussi glisser ses commandes dans des scripts exécutés au démarrage de l’appareil ou à l’ouverture d’un shell. Il multiplie ainsi les possibilités de relance, tout en rendant son propre exécutable immuable pour compliquer sa suppression. Un processus gardien vérifie également toutes les 60 secondes que le malware tourne encore et tente de le remettre en route dès qu’il s’arrête.
Tengu peut enfin endommager les utilitaires Linux utilisés pour arrêter ou redémarrer proprement la machine. Supprimer son processus à la hâte risque donc de provoquer exactement ce qu’il attend : un redémarrage, suivi d’une nouvelle tentative de lancement.
Comment éviter l’infection et nettoyer un appareil
L’ampleur réelle de Tengu reste difficile à mesurer, Nozomi n’ayant communiqué ni chiffre d’infection, ni identité d’opérateur, ni victime confirmée. Son mode d’entrée est en revanche bien identifié : le botnet a été observé après des attaques par force brute contre des services Telnet exposés sur Internet.
La priorité consiste donc à désactiver Telnet et les interfaces d’administration inutiles, puis à remplacer les identifiants par défaut par des mots de passe uniques et solides. Il faut également maintenir le firmware des appareils à jour et isoler les objets connectés du reste du réseau.
En cas d’infection présumée, couper le processus ne suffit pas. Les services systemd, les scripts init et RC, les fichiers de démarrage du shell et les tâches cron doivent aussi être contrôlés avant toute remise en service.
Si l’intégrité du système ne peut plus être garantie, une réinitialisation complète peut s’imposer. Il faudra alors réinstaller un firmware sain, renouveler les identifiants et vérifier que l’appareil n’est plus directement accessible depuis Internet.
