Tengu-Botnetz: Linux-Watchdog löscht Spuren bei jedem Neustart

Sicherheitsforscher haben ein raffiniertes Botnetz entdeckt: Tengu missbraucht den Hardware-Watchdog von Linux-IoT-Geräten, um bei Entdeckungsversuchen sofort einen Neustart zu erzwingen.

Das auf dem Mirai-Quellcode basierende Botnetz verbreitet sich vor allem über Brute-Force-Angriffe auf Telnet-Zugänge, berichten die Experten von Nozomi Networks Labs. Ist ein System erst einmal kompromittiert, setzt Tengu auf mehrere Verschleierungstechniken. Dazu gehören dateilose Ausführung (Fileless Execution) und das Tarnen von Prozessen unter legitimen Namen wie „systemd-journald“. Die Kommunikation mit dem Command-and-Control-Server (C2) läuft verschlüsselt per XOR-Obfuskation.

Watchdog als ungewöhnlicher Schutzmechanismus

Die technische Besonderheit von Tengu liegt in der Interaktion mit dem Hardware-Watchdog. Diese Komponente startet ein System eigentlich automatisch neu, wenn es sich aufgehängt hat. Tengu macht daraus einen Schutzschild: Versuchen Admins oder Sicherheitstools, den Hauptprozess der Malware zu beenden, löst ein Begleitprozess (Guardian Process) über den Watchdog einen Reboot aus. Der Neustart löscht flüchtige Daten im Arbeitsspeicher – und erschwert so eine forensische Analyse der Infektion erheblich.

Angesichts immer komplexerer Bedrohungen wie dem Tengu-Botnetz wird die proaktive Absicherung der Unternehmens-IT zur Existenzfrage. Dieses kostenlose E-Book enthüllt, wie Sie Sicherheitslücken schließen und gleichzeitig neue gesetzliche Anforderungen erfüllen. IT-Sicherheit stärken ohne teure Investitionen

Das Botnetz ist technisch breit aufgestellt und unterstützt mehrere CPU-Architekturen. Insgesamt 25 verschiedene Methoden für DDoS-Angriffe (Distributed Denial of Service) stellt Tengu bereit. Die dauerhafte Verankerung auf dem System sichern zusätzliche Einträge in cron-Jobs und systemd-Diensten.

Wachsender Druck durch IoT-Botnetze

Die Entdeckung von Tengu fällt in eine Zeit, in der IoT-Botnetze zunehmend komplexe Strategien entwickeln. Branchenanalysten beobachten eine Evolution weg von einfachen Skripten hin zu hochspezialisierten Funktionen. Erst in den letzten Tagen wurde das Dysphoria-Botnetz identifiziert, das für seine C2-Infrastruktur auf Blockchain-Dienste wie Ethereum (ENS) und Solana (SNS) setzt – angeblich bereits 200.000 Geräte infiziert.

Immer mehr Unternehmen werden Opfer von gezielten Cyberangriffen durch hochspezialisierte Botnetze. Erfahrene Experten erklären in diesem kostenlosen E-Book, wie Sie sich proaktiv absichern, bevor es für Ihre Systeme zu spät ist. Kostenlose Checkliste zur Hacker-Abwehr herunterladen

Parallel dazu warnt die Sicherheitsbranche vor der Botnetz-Variante Kimwolf. Diese hat seit Sommer 2025 Schätzungen zufolge über zwei Millionen Android-basierte Mediaplayer und Smart-TVs kompromittiert. Die Entwicklungen zeigen: Angreifer setzen verstärkt auf Persistenz und erschweren forensische Untersuchungen – mit immer ausgefeilteren Methoden.

de | wissenschaft | 69893772 |