Botnet Tengu Reinicia Dispositivos Linux para Manter Presença Persistente

A botnet Tengu, uma nova variante derivada do Mirai, eleva o nível da persistência em dispositivos Linux. O grande diferencial está na forma como ela abusa do recurso de hardware watchdog. Basicamente, quando defensores tentam derrubar o processo principal da Tengu, o watchdog do hardware entra em ação e força a reinicialização do dispositivo. É uma jogada inteligente, porque as outras camadas de persistência da botnet ganham uma nova chance de se relançar.

A Tengu também não economiza em outros truques para se manter ativa. Ela cria um serviço systemd falso, adiciona scripts de inicialização (init e RC), modifica arquivos de inicialização de shell e até marca seus binários instalados como imutáveis, dificultando a remoção. Para completar, a botnet pode sobrescrever headers de executáveis de reboot e shutdown com a string "ELFOOD", interferindo em comandos legítimos que administradores usariam para gerenciar o sistema. É um pacote completo de autodefesa e resiliência, desenhado para frustrar qualquer tentativa de desinfecção.

A evolução no cenário das botnets, especialmente as variantes de Mirai, é evidente com a Tengu. Enquanto análises anteriores, como a do TuxBot v3 em 17 de julho de 2026, já apontavam para botnets IoT com múltiplos mecanismos de persistência, a Tengu se destaca pela inovação no abuso do hardware watchdog. Essa técnica de forçar a reinicialização do sistema após a interrupção do processo malicioso é um avanço na resiliência da botnet.

Comparando com o CondiBot, outra botnet derivada de Mirai que identificamos em 20 de março de 2026, a Tengu aprimora as capacidades de autodefesa. O CondiBot já demonstrava habilidades de eliminação de botnets concorrentes e uso de 32 attack handlers, mas a Tengu introduz uma camada de persistência que torna a erradicação do malware ainda mais desafiadora para os defensores, mostrando um foco maior na sobrevivência do processo malicioso em si.

A emergência da botnet Tengu é um alerta severo para a segurança da infraestrutura de rede e dispositivos IoT. Sua capacidade de persistir através da reinicialização forçada do sistema, combinada com múltiplas camadas de autodefesa, transforma a erradicação em um pesadelo. Empresas e provedores de serviço que dependem de equipamentos Linux ou IoT vulneráveis podem enfrentar interrupções prolongadas e ataques DDoS severos.

Além dos ataques DDoS, a Tengu tem funcionalidades que permitem a execução de comandos shell e atua como um proxy SOCKS5. Isso significa que, além de ser usada para ataques, ela pode servir como porta de entrada para acessos não autorizados e movimentação lateral na rede, expondo dados sensíveis e escalando o risco de comprometimento total. É um vetor de ameaça que exige atenção máxima e estratégias de defesa proativas.