Botnet Tengu : le malware Linux qui redémarre les appareils infectés

Imagine un malware qui se venge quand tu tentes de le supprimer : tu tues son processus, et trente secondes plus tard ta machine redémarre toute seule, histoire de lui donner une nouvelle chance. C'est le mécanisme de survie du botnet Tengu, découvert par les chercheurs de Nozomi Networks Labs sur des appareils Linux mal protégés, et relayé cette semaine dans la presse française.

Le chien de garde retourné contre son maître

Le truc repose sur le watchdog matériel, ce dispositif présent dans beaucoup de routeurs et d'objets connectés qui redémarre automatiquement une machine qui ne répond plus. En temps normal, le système envoie régulièrement un signal de vie pour l'apaiser. Tengu détourne ce mécanisme : un processus secondaire, déguisé en composant système nommé kworker/0:0, continue d'envoyer les signaux tant que le malware principal tourne. Dès que tu interromps ce dernier, les signaux s'arrêtent et l'appareil redémarre une trentaine de secondes plus tard, donnant aux autres mécanismes de persistance l'occasion de tout relancer.

Figure 9 du rapport Nozomi : fonction de gestion du watchdog utilisée par le botnet Tengu pour provoquer le redémarrage

Source : Nozomi Networks Labs — nozominetworks.com/blog/tengu-a-modernized-mirai-that-doesnt-want-to-leave

Un Mirai qui a suivi des cours de survie

Tengu descend de Mirai, la célèbre famille de botnets qui recrute des objets connectés par force brute. Il en garde l'essentiel : les attaques DDoS, la propagation par Telnet et les mots de passe par défaut. Mais il ajoute une couche de modernité : commandes chiffrées, proxy SOCKS5, exécution de commandes à distance, mise à jour de charge utile, et même un gardien qui vérifie toutes les soixante secondes que le malware tourne encore et le relance si besoin.

Pour compliquer la tâche des défenseurs, il peut s'exécuter sans écrire de fichier sur le disque, se faire passer pour le service systemd-journald aux yeux des outils de surveillance, rendre son exécutable immuable et même corrompre les commandes d'arrêt et de redémarrage du système. Il nettoie aussi la concurrence : une boucle tue les processus des botnets rivaux qui visent les mêmes appareils.

Figure 1 du rapport Nozomi : script shell dropper du botnet Tengu, arrivé par force brute Telnet

Source : Nozomi Networks Labs — nozominetworks.com/blog/tengu-a-modernized-mirai-that-doesnt-want-to-leave

Comment il entre, et qui est visé

Le mode d'entrée est d'une banalité affligeante : des attaques par force brute contre des services Telnet exposés sur Internet. Les cibles sont des appareils Linux et objets connectés laissés avec leurs identifiants par défaut : routeurs, box, NAS, même des boîtiers Android TV. Nozomi n'a pas publié de chiffre d'infections ni d'identité des opérateurs, mais le simple fait que ce botnet circule depuis plusieurs mois montre que le réservoir d'appareils mal sécurisés reste énorme. On en parlait déjà avec ces robots qui scannent les serveurs exposés.

Ce que tu peux faire

La bonne nouvelle, c'est que les défenses sont connues et gratuites : désactive Telnet, change tous les identifiants par défaut, mets à jour les firmwares et isole tes objets connectés sur un réseau séparé. Si tu administres des machines exposées, vérifie que SSH est correctement verrouillé, un sujet qu'on avait déjà creusé avec OpenSSH 10.5.

En cas d'infection suspectée, ne te contente pas de tuer le processus : Tengu renaîtra. Contrôle les services systemd, les scripts de démarrage, les fichiers de shell et les tâches cron, et si l'intégrité du système est compromise, réinstalle un firmware sain et change tous les mots de passe. C'est pénible, mais moins que de laisser un botnet squatter ta box pour attaquer les autres.

Conclusion

Tengu ne fait pas de miracles, il exploite des appareils laissés grands ouverts. La porte se ferme avec un mot de passe solide et un Telnet désactivé : pas besoin de diplôme ni de logiciel payant pour mettre le verrou.