Tengu es una nueva botnet basada en Mirai que infecta dispositivos IoT con sistemas Linux expuestos (especialmente aquellos con Telnet activo). Su característica principal es que dificulta la limpieza del dispositivo: el malware puede provocar que el equipo se reinicie si se intenta eliminar el proceso, convirtiendo una limpieza rutinaria en un problema operativo.

Tengu, una botnet basada en Mirai observada recientemente, está haciendo que los dispositivos IoT infectados sean mucho más difíciles de limpiar. Se dirige a sistemas Linux integrados orientados a internet, especialmente a aquellos dispositivos que dejan expuestos Telnet u otros servicios de administración remota.

Una vez instalado, el malware puede mantener un dispositivo disponible para actividades maliciosas y convertir un intento de eliminación rutinario en un problema operativo.

La amenaza sigue la estrategia familiar de Mirai al buscar dispositivos conectados con protección débil, pero añade salvaguardas más fuertes contra las interferencias.

Los routers, cámaras, DVR y otros sistemas de bajo mantenimiento pueden ser objetivos atractivos porque a menudo están expuestos en línea, ejecutan firmware desactualizado o todavía utilizan credenciales por defecto.

Amenazas similares han demostrado repetidamente cómo las vulnerabilidades de los routers de la botnet Mirai pueden poner en riesgo el equipo de red cotidiano.

Investigadores de Nozomi identificaron la capacidad inusual del malware para reiniciar un dispositivo IoT cuando alguien intenta finalizar su proceso malicioso.

Nozomi afirmó en un informe que Tengu está diseñado para resistir la eliminación y mantener el acceso después del compromiso.

Este comportamiento aumenta el riesgo para las organizaciones que asumen que reiniciar un dispositivo es suficiente para eliminar una infección. Un reinicio puede interrumpir la vigilancia, las comunicaciones o los procesos de negocio, mientras que da a los administradores una falsa sensación de que el dispositivo ha sido limpiado.

El hallazgo también refuerza por qué proteger los dispositivos IoT contra ataques de botnets requiere más que simplemente apagar y encender el equipo.

Nueva Botnet Tengu Mirai

Tengu monitorea su propio estado de ejecución y comprueba si su código ha sido modificado.

El malware lee la información de mapeo de memoria del sistema de archivos proc de Linux, calcula un valor SHA-256 base para parte de su código y compara repetidamente el resultado para identificar manipulaciones.

También busca mapeos de memoria escribibles que puedan indicar una actividad de análisis o modificación.

Cuando el bot detecta que un operador ha intentado detenerlo o alterarlo, puede activar un reinicio del dispositivo infectado.

Esa reacción puede eliminar rastros temporales del esfuerzo de respuesta fallido y perturbar a la persona que intenta la limpieza. También significa que los respondedores de incidentes pueden perder el acceso a evidencia volátil si no la recolectan antes de tomar acción.

Los métodos de persistencia del malware añaden otra capa de dificultad. Quienes investiguen un sistema afectado deben examinar los servicios de systemd, scripts de inicio, archivos de arranque de shell y ubicaciones relacionadas con cron antes de devolver un dispositivo al servicio.

Este enfoque es importante porque otras botnets de Linux han utilizado systemd y tareas programadas para mantener el acceso tras el compromiso inicial.

La Exposición Crea la Oportunidad

Tengu pone principalmente en riesgo los dispositivos IoT y Linux integrados expuestos a internet, especialmente aquellos con Telnet o servicios administrativos innecesarios accesibles desde fuera de la red.

Los atacantes pueden explotar malas prácticas de credenciales y una gestión débil de los dispositivos para ganar acceso. El equipo de red más antiguo sigue estando especialmente expuesto, como se ha visto en casos que involucran cámaras web y DVRs atacados a través de servicios vulnerables.

Debes reducir la exposición pública siempre que sea posible, desactivar el acceso remoto no utilizado y reemplazar las contraseñas de fábrica con credenciales fuertes y únicas.

El firmware debe mantenerse actualizado, mientras que los dispositivos IoT deben separarse de las redes empresariales críticas para limitar el efecto de un compromiso. Estas medidas pueden reducir tanto las oportunidades de acceso inicial como la posibilidad de movimiento lateral.

Los equipos de seguridad también deben vigilar las conexiones salientes inesperadas, el tráfico de red similar a un proxy, nombres de procesos extraños y servicios que fingen ser componentes legítimos del sistema.

Revisar las ubicaciones de persistencia antes de restaurar un dispositivo afectado es esencial, particularmente porque las botnets modernas pueden combinar el acceso a largo plazo con capacidades de DDoS o proxy.

Informes recientes sobre la evolución de los DDoS de la botnet Mirai ilustran los riesgos operativos más amplios que plantean las grandes botnets de IoT.

Fuentes:
https://cybersecuritynews.com/new-tengu-mirai-botnet/