Co znajdziesz w tym artykule?
Wprowadzenie do problemu / definicja
Tengu to nowa rodzina botnetu oparta na dziedzictwie Mirai, zaprojektowana do infekowania urządzeń działających pod kontrolą Linuksa, w tym systemów IoT, routerów, kamer, urządzeń brzegowych i platform embedded. Zagrożenie łączy klasyczne możliwości prowadzenia ataków DDoS z bardziej zaawansowanymi technikami utrwalania obecności w systemie oraz utrudniania działań naprawczych.
Najbardziej charakterystyczną cechą Tengu jest wykorzystanie watchdogu sprzętowego do wymuszania restartu urządzenia po przerwaniu głównego procesu malware. To oznacza, że tradycyjne działania administracyjne, takie jak ręczne zabicie procesu, mogą nie tylko nie usunąć zagrożenia, ale wręcz pomóc mu wrócić do działania po ponownym uruchomieniu systemu.
W skrócie
- Tengu atakuje linuxowe urządzenia głównie przez brute force na usługach Telnet.
- Po infekcji komunikuje się z serwerem C2 i obsługuje wiele metod ataków DDoS.
- Malware potrafi uruchamiać proxy SOCKS5, wykonywać polecenia systemowe i pobierać dodatkowe ładunki.
- Rozbudowane mechanizmy persistence utrudniają usunięcie infekcji.
- Wykorzystanie watchdogu sprzętowego zwiększa skuteczność ponownej aktywacji po interwencji obrońców.
Kontekst / historia
Rodzina Mirai od lat pozostaje jednym z najważniejszych zagrożeń dla ekosystemu IoT. Jej skuteczność wynika z wykorzystywania słabo zabezpieczonych urządzeń dostępnych z internetu, zwłaszcza tych korzystających z domyślnych lub słabych danych uwierzytelniających. Tengu rozwija ten model, ale idzie o krok dalej, oferując operatorom bardziej elastyczne funkcje operacyjne i silniejsze mechanizmy samoobrony.
Według analiz, próbki Tengu były dostarczane za pomocą prostych skryptów powłokowych po skutecznym odgadnięciu poświadczeń przez Telnet. Złośliwe oprogramowanie przygotowano dla wielu architektur, co wskazuje na celowe ukierunkowanie na zróżnicowane środowiska linuxowe i embedded. Taka wieloarchitekturność zwiększa skalę potencjalnych infekcji i ułatwia operatorom budowę rozproszonej infrastruktury botnetu.
Analiza techniczna
Tengu działa jako malware wieloarchitekturne pobierane przez dropper z hosta powiązanego również z infrastrukturą dowodzenia i kontroli. Adres serwera C2 jest ukrywany i odszyfrowywany w czasie wykonania, co utrudnia analizę statyczną. Część komunikacji, taka jak rejestracja bota, heartbeat czy wyniki wykonanych poleceń, odbywa się jawnie, natomiast komendy operatorskie i aktualizacje są zabezpieczane mechanizmem szyfrowania przypominającym nowoczesne schematy strumieniowe.
Zakres funkcji malware jest szeroki i wykracza poza standardowy model prostego bota DDoS. Tengu potrafi zbierać informacje o systemie i sieci, wykonywać dowolne polecenia przekazane przez operatora, pobierać dodatkowe pliki ELF i APK, a także uruchamiać serwer proxy, domyślnie w wariancie SOCKS5. Dzięki temu zainfekowane urządzenie może być wykorzystywane nie tylko do zakłócania dostępności usług, ale również jako punkt pośredni do dalszych działań.
Botnet obsługuje również liczne techniki ataku DDoS obejmujące ruch UDP, TCP, ICMP oraz wybrane metody warstwy aplikacyjnej. To pozwala operatorom elastycznie dostosowywać typ ataku do celu oraz charakterystyki przejętych urządzeń.
Na szczególną uwagę zasługują mechanizmy persistence. Tengu może dodawać fałszywe usługi systemd, modyfikować skrypty init.d, ingerować w pliki startowe powłoki oraz podejmować próby utrwalenia przez cron. Dodatkowo malware może oznaczać swój plik jako immutable, co znacząco utrudnia jego usunięcie przy użyciu standardowych narzędzi administracyjnych.
Najgroźniejszym elementem jest jednak wykorzystanie watchdogu sprzętowego. Malware uruchamia proces pomocniczy podszywający się pod legalny komponent systemowy, otwiera urządzenie watchdog i utrzymuje jego aktywność. Jeżeli główny proces zostanie zabity, podtrzymywanie ustaje, a urządzenie może zostać automatycznie zrestartowane po upływie ustawionego czasu. Po restarcie wcześniejsze mechanizmy persistence próbują ponownie uruchomić złośliwe oprogramowanie.
Tengu stosuje również techniki utrudniające działania naprawcze i analizę. Należą do nich m.in. szyfrowanie stringów, wykonywanie z pamięci, maskowanie linii poleceń procesu, ignorowanie wybranych sygnałów systemowych, ograniczanie tworzenia zrzutów pamięci oraz kontrole antydebuggingowe. Malware może także usuwać konkurencyjne rodziny złośliwego oprogramowania z przejętego hosta, aby zachować pełną kontrolę nad urządzeniem.
Konsekwencje / ryzyko
Z punktu widzenia organizacji i operatorów infrastruktury Tengu zwiększa ryzyko na kilku poziomach. Po pierwsze, przejęte urządzenia mogą zostać wykorzystane do kampanii DDoS, co oznacza realne zagrożenie dla dostępności usług. Po drugie, obecność funkcji proxy i zdalnego wykonywania poleceń sprawia, że zainfekowany host może zostać użyty jako przystanek do dalszych operacji w sieci.
Dużym problemem są także mechanizmy persistence i wykorzystanie watchdogu sprzętowego. W praktyce błędnie przeprowadzona reakcja na incydent może doprowadzić do ponownej aktywacji infekcji po restarcie urządzenia. Dodatkowo modyfikacje binariów odpowiedzialnych za restart i wyłączanie systemu mogą utrudnić bezpieczne odseparowanie hosta od środowiska produkcyjnego.
Szczególnie zagrożone pozostają urządzenia IoT i embedded Linux wystawione do internetu, korzystające z Telnetu, domyślnych haseł, słabych poświadczeń lub nieaktualnego firmware. W środowiskach przemysłowych i edge skutki takiej infekcji mogą wykraczać poza sam incydent cyberbezpieczeństwa i prowadzić do zakłóceń operacyjnych.
Rekomendacje
Podstawową rekomendacją jest ograniczenie ekspozycji usług administracyjnych do internetu, zwłaszcza Telnetu. Jeżeli zdalny dostęp nie jest niezbędny, powinien zostać wyłączony. Tam, gdzie jest konieczny, należy stosować silne, unikalne hasła oraz odpowiednią kontrolę dostępu.
- aktualizować firmware i oprogramowanie urządzeń IoT oraz embedded,
- wyłączyć domyślne konta i zmienić fabryczne poświadczenia,
- segmentować sieci IoT od zasobów krytycznych i środowisk użytkowników,
- monitorować nietypowe połączenia wychodzące i aktywność proxy,
- sprawdzać obecność podejrzanych usług systemd, wpisów init, cron i zmian w plikach startowych,
- weryfikować integralność binariów systemowych odpowiedzialnych za restart i wyłączanie hosta,
- podczas reakcji na incydent analizować mechanizmy persistence przed ponownym uruchomieniem urządzenia w środowisku produkcyjnym.
W środowiskach o podwyższonym ryzyku warto wdrożyć rozszerzony monitoring behawioralny, analizę telemetrii sieciowej oraz kontrolę anomalii związanych z wykonywaniem procesów z pamięci i nieautoryzowanymi zmianami w ścieżkach startowych systemu.
Podsumowanie
Tengu pokazuje, że współczesne warianty Mirai nie są już wyłącznie prostymi narzędziami do prowadzenia ataków DDoS. To rozbudowane malware, które łączy funkcje zdalnego sterowania, pobierania kolejnych ładunków, ukrywania aktywności i wielowarstwowego utrwalania obecności w systemie.
Wykorzystanie watchdogu sprzętowego jako mechanizmu antyremediation stanowi szczególnie niebezpieczny element tej kampanii. Dla zespołów bezpieczeństwa oznacza to konieczność traktowania urządzeń IoT i systemów embedded jako pełnoprawnej części powierzchni ataku oraz prowadzenia dokładnej analizy persistence przed przywróceniem takich urządzeń do eksploatacji.