La chiusura del processo non basta più a spegnere l’infezione. Su Linux con hardware watchdog, l’arresto del bot può innescare un reboot e dare alle altre forme di persistenza una seconda occasione per ricaricare il malware.
Nozomi descrive Tengu, un botnet derivato da Mirai che combina self-defense del processo e watchdog hardware, con supporto per più architetture Linux. Il report cita varianti per i386, amd64, MIPS, ARM, PowerPC e m68k, e mostra anche persistence tramite systemd, init script, shell startup file e cron.
Il punto per chi difende appliance e embedded Linux esposte a Internet è che il kill-and-clean classico può diventare controproducente. La presenza di più livelli di persistenza sposta la bonifica dal singolo processo al controllo dell’intera superficie di avvio.