Le botnet Tengu relance les appareils Linux après leur neutralisation
Un nouveau botnet dérivé de Mirai déjoue les défenseurs en utilisant le chien de garde matériel des appareils Linux pour se relancer dès que son processus principal est tué. Surnommé Tengu, ce malware ajoute une couche supplémentaire de persistance en forçant un redémarrage du système si les administrateurs tentent de l’arrêter, offrant à ses autres portes dérobées une nouvelle chance de se réactiver.
Des chercheurs en sécurité des laboratoires Nozomi Networks ont détecté Tengu après avoir observé son programme d’installation infiltrer des pots de miel via des attaques par force brute Telnet. Une fois à l’intérieur, le botnet installe plusieurs mécanismes de persistance et intègre une capacité de déni de service distribué, élargissant sa surface d’attaque au-delà du simple vol de données d’identification.
Une astuce ingénieuse pour la persistance
La plupart des malwares Linux reposent sur des tâches cron, des services systemd ou des entrées cron.d pour survivre aux redémarrages. Tengu va plus loin en détournant le chien de garde matériel, une fonction conçue à l’origine pour éviter les blocages système. Lorsque les défenseurs terminent le processus principal du botnet, le chien de garde interprète l’absence de signaux « battements de cœur » périodiques comme un plantage et déclenche un redémarrage immédiat. Au démarrage, les autres couches de persistance de Tengu se rechargent, faisant ainsi renaître l’infection.
D’une intrusion par force brute à une armée de DDoS
La méthode de propagation de Tengu rappelle celle des anciens botnets IoT, exploitant des identifiants Telnet faibles pour accéder initialement aux appareils. Une fois compromis, les dispositifs rejoignent un réseau en expansion capable de lancer des attaques par déni de service distribué. Le malware prend en charge au moins 25 techniques de DDoS, dont les inondations SYN et l’amplification UDP, augmentant les risques pour les organisations exploitant des systèmes Linux non corrigés dans des environnements exposés.
Enjeux et perspectives
Tengu illustre comment les attaquants perfectionnent leurs tactiques de persistance pour contourner même les efforts de nettoyage proactifs. Pour les administrateurs Linux, cela signifie que la simple terminaison d’un processus ne garantit plus l’élimination d’une infection, et que les configurations des chiens de garde doivent désormais être examinées avec la même rigueur que les règles de pare-feu et les politiques d’accès. Le mélange de techniques anciennes et modernes de ce botnet souligne l’évolution du paysage des menaces pour les appareils IoT et Linux embarqués, où un mot de passe faible peut transformer un système en zombie résistant aux redémarrages au sein d’une armée de DDoS.
Source : The Hacker News. Synthèse éditoriale assistée par IA — TechnoExpress.