Malware · 61 giorni fa
La chiusura del processo non basta più a spegnere l’infezione. Su Linux con hardware watchdog, l’arresto del bot può innescare un reboot e dare alle altre forme di persistenza una seconda occasione per ricaricare il malware.
Nozomi descrive Tengu, un botnet derivato da Mirai che combina self-defense del processo e watchdog hardware, con supporto per più architetture Linux. Il report cita varianti per i386, amd64, MIPS, ARM, PowerPC e m68k, e mostra anche persistence tramite systemd, init script, shell startup file e cron.
Il punto per chi difende appliance e embedded Linux esposte a Internet è che il kill-and-clean classico può diventare controproducente. La presenza di più livelli di persistenza sposta la bonifica dal singolo processo al controllo dell’intera superficie di avvio.
2 fonti che coprono questa storia
Tengu botnet reboots Linux devices to survive removal - Help Net Security
Tengu, a Mirai-derived botnet, reboots infected Linux devices to survive removal and adds proxy, DDoS and stealth features.
Tengu Botnet Reboots Compromised Linux Devices When Defenders Kill Its Process
Tengu abuses Linux hardware watchdogs to reboot devices after its main process is killed, letting other persistence mechanisms relaunch it.
Part of the PlainSec briefing for 2026-07-29