Tengu es una botnet derivada de Mirai que infecta dispositivos Linux y Android mediante fuerza bruta de Telnet. Destaca por sus avanzados mecanismos de persistencia, como el uso del hardware watchdog para reiniciar el dispositivo si el proceso principal es eliminado. Además, permite ejecutar ataques DDoS, proxy SOCKS5 y la descarga de cargas útiles adicionales.



Una nueva botnet derivada de Mirai llamada Tengu puede utilizar el perro guardián (watchdog) de hardware de un dispositivo Linux comprometido para provocar un reinicio cuando los defensores detienen su proceso principal.

Si eso sucede, los otros mecanismos de persistencia de Tengu tienen otra oportunidad de relanzarlo. Nozomi Networks Labs observó que el dropper llegaba a sus honeypots mediante fuerza bruta de credenciales de Telnet.

Tengu admite 25 métodos de denegación de servicio distribuido (DDoS). También puede ejecutar un proxy SOCKS5, ejecutar comandos de shell y recopilar datos del sistema y de la red. El malware puede actualizarse a sí mismo y recuperar cargas útiles adicionales en formato Ejecutable y Enlazable (ELF) o paquetes de Android (APK).

Nozomi enumeró muestras específicas de arquitectura para i386, amd64, MIPS, ARM, PowerPC y m68k. El informe no identifica ningún proveedor o modelo de dispositivo específico. Tampoco menciona ningún operador, recuento de infecciones o víctimas de DDoS en el mundo real. Muestra lo que Tengu puede hacer, no hasta dónde se ha extendido.

Para protegerte, debes empezar por eliminar la exposición a internet de Telnet y otros servicios administrativos innecesarios, además de reemplazar las credenciales por defecto. Nozomi también recomienda actualizar el firmware, segmentar las redes de Internet de las Cosas (IoT) y revisar los servicios de systemd, scripts de inicio, archivos de arranque de shell y rutas relacionadas con cron antes de volver a poner en servicio un dispositivo sospechoso.

Análisis de nozomi networks

Nozomi Networks Labs publicó su análisis aquí el 27 de julio de 2026. Nozomi afirmó que el código de persistencia y autodefensa de Tengu lo hace destacar entre las muestras derivadas de Mirai que rastrean. "La mayoría de las variantes de Mirai implementan pocas, o ninguna, de estas capacidades de autodefensa", señalaron los investigadores.

Una vez en funcionamiento, el bot crea un guardián independiente que verifica el proceso principal del malware cada 60 segundos y relanza el binario instalado si se detiene. También puede crear un servicio systemd falso, añadir scripts init y RC, alterar archivos de arranque de shell y marcar su binario instalado como inmutable. Existe una rutina de persistencia basada en cron, pero Nozomi señaló que su referencia a /proc/self/exe parece inacabada o rota.

Un segundo mecanismo abusa del perro guardián de hardware del dispositivo. Un trabajador en segundo plano se hace pasar por [kworker/0:0], reabre el dispositivo watchdog si está disponible, lo arma con un tiempo de espera de aproximadamente 30 segundos y envía señales de mantenimiento solo mientras el proceso principal del malware permanece vivo. Si matas el proceso, el watchdog deja de recibir señales, lo que provoca que el dispositivo se reinicie. Entonces, los otros mecanismos de persistencia de Tengu pueden intentar relanzarlo.

Tengu también lleva una lista predefinida de utilidades de reinicio y apagado. Sobrescribe sus encabezados ELF con la cadena ELFOOD, lo que puede interferir con los comandos normales que podrías usar para reiniciar o apagar de forma segura un dispositivo comprometido.

La muestra analizada estaba configurada para comunicarse con un servidor de comando y control (C2) en 64[.]89.163.8 a través del puerto TCP 9931. El registro, el tráfico de latidos y la salida de comandos se envían en texto plano, mientras que los comandos del servidor y las actualizaciones utilizan un esquema de cifrado autenticado similar a ChaCha20/Poly1305.

Tengu también puede obtener un identificador de contenido suministrado por el C2 desde una puerta de enlace del Sistema de Archivos InterPlanetario (IPFS) en el mismo servidor, validar el resultado como un ELF o APK, y ejecutarlo o instalarlo.

Nozomi evaluó que la ruta del APK probablemente se dirige a centros de Android TV mal asegurados o dispositivos similares, pero no documentó víctimas confirmadas de Android. 

URLhaus registró de forma independiente 17 URLs de malware en 64[.]89.163.8 a partir del 17 de junio de 2026. Los registros incluían un script de shell, múltiples archivos ELF etiquetados como Mirai y un APK. Las entradas de carga útil más recientes de URLhaus se vieron por primera vez el 7 de julio, y las 17 URLs estaban fuera de línea el 28 de julio.

URLhaus no identifica los archivos como Tengu. Hasta el 28 de julio, ninguno de los hashes SHA-256 enumerados en su registro de host coincidía con el hash de la muestra publicado por Nozomi. Por lo tanto, su telemetría solo confirma un alojamiento malicioso relacionado con Mirai en esa dirección.

The Hacker News se ha puesto en contacto con Nozomi Networks para obtener detalles adicionales sobre la escala observada de Tengu, el estado de la infraestructura y la vinculación de las muestras, y actualizará la historia con cualquier respuesta.

Ni Nozomi ni URLhaus establecieron si el servicio C2 en el puerto 9931 o la puerta de enlace IPFS en el puerto 8080 eran accesibles. El estado de URLhaus se aplica solo a sus URLs de descarga enumeradas. Nozomi tampoco indica si el servidor C2 configurado en 64[.]89.163.8:9931 emitió algún comando.

Fuente:
THN