🌟 Atualização imperdÃvel para quem gosta de estar bem informado!
Leia, comente e fique sempre atualizado!
Apoie esse projeto de divulgacao de noticias! Clique aqui
Um novo botnet derivado do Mirai, chamado Tengu, pode usar o watchdog de hardware de um dispositivo Linux comprometido para acionar uma reinicialização quando os defensores interrompem seu processo principal.
Se isso acontecer, os outros mecanismos de persistência do Tengu terão outra chance de relançá-lo. O Nozomi Networks Labs observou o conta-gotas alcançando seus honeypots por meio da força bruta da credencial Telnet.
Tengu oferece suporte a 25 métodos distribuÃdos de negação de serviço (DDoS). Ele também pode executar um proxy SOCKS5, executar comandos shell e coletar dados do sistema e da rede. O malware pode se atualizar e recuperar cargas adicionais de formato executável e vinculável (ELF) ou pacote Android (APK).
Nozomi listou amostras especÃficas de arquitetura para i386, AMD64, MIPS, ARM, PowerPC e m68k. O relatório não identifica nenhum fornecedor ou modelo de dispositivo especÃfico. Ele também não menciona nenhum operador, número de infecções ou vÃtimas de DDoS no mundo real. Mostra o que o Tengu pode fazer, não até que ponto se espalhou.
Os defensores devem começar removendo a exposição da Internet ao Telnet e outros serviços administrativos desnecessários e substituindo as credenciais padrão. Nozomi também recomenda atualizar o firmware, segmentar redes da Internet das Coisas (IoT) e revisar serviços systemd, scripts de inicialização, arquivos de inicialização do shell e caminhos relacionados ao cron antes de retornar um dispositivo suspeito ao serviço.
O Nozomi Networks Labs publicou sua análise em 27 de julho de 2026. Nozomi disse que a persistência e o código de autodefesa do Tengu o fizeram se destacar entre as amostras derivadas do Mirai que ele rastreia. “A maioria das variantes do Mirai implementa poucas ou nenhuma dessas capacidades de autodefesa”, disseram os pesquisadores.
Depois de executado, o bot bifurca um guardião independente que verifica o processo principal do malware a cada 60 segundos e reinicia o binário instalado se ele parar. Ele também pode criar um serviço systemd falso, adicionar scripts init e RC, alterar arquivos de inicialização do shell e marcar seu binário instalado como imutável. Uma rotina de persistência baseada em cron está presente, mas Nozomi disse que sua referência a /proc/self/exe parece inacabada ou quebrada.
Um segundo mecanismo abusa do watchdog de hardware do dispositivo. Um trabalhador em segundo plano se disfarça como [kworker/0:0], reabre o dispositivo watchdog, se disponÃvel, arma-o com um tempo limite de aproximadamente 30 segundos e envia sinais de manutenção de atividade apenas enquanto o processo principal do malware permanece ativo. Mate o processo e o watchdog para de ser alimentado, permitindo que o dispositivo seja reinicializado. Os outros mecanismos de persistência do Tengu podem então tentar reiniciá-lo.
Tengu também carrega uma lista codificada de utilitários de reinicialização e desligamento. Ele substitui seus cabeçalhos ELF pela string ELFOOD, que pode interferir nos comandos normais que os defensores podem usar para reiniciar ou desligar com segurança um dispositivo comprometido.
A amostra analisada foi configurada para se comunicar com um servidor de comando e controle (C2) em 64[.]89.163.8 pela porta TCP 9931. Registro, tráfego de pulsação e saÃda de comando são enviados em texto simples, enquanto comandos e atualizações do servidor usam um esquema de criptografia autenticado semelhante ao ChaCha20/Poly1305 personalizado.
Tengu também pode obter um identificador de conteúdo fornecido por C2 de um gateway InterPlanetary File System (IPFS) no mesmo servidor, validar o resultado como um ELF ou APK e executá-lo ou instalá-lo.
Nozomi avaliou que o caminho do APK provavelmente tem como alvo caixas de Android TV ou dispositivos semelhantes mal protegidos, mas não documentou vÃtimas Android confirmadas.
A URLhaus registrou de forma independente 17 URLs de malware em 64[.]89.163.8 a partir de 17 de junho de 2026. Os registros incluÃam um script de shell, vários arquivos ELF marcados como Mirai e um APK. As entradas de carga útil mais recentes do URLhaus foram vistas pela primeira vez em 7 de julho, e todos os 17 URLs estavam off-line em 28 de julho.
URLhaus não identifica os arquivos como Tengu. Em 28 de julho, nenhum dos hashes SHA-256 listados em seu registro de host correspondia ao hash de amostra publicado por Nozomi. Sua telemetria, portanto, confirma apenas hospedagem maliciosa relacionada ao Mirai no endereço.
O Hacker News entrou em contato com a Nozomi Networks para obter detalhes adicionais sobre a escala observada do Tengu, o status da infraestrutura e a ligação da amostra, e atualizará a história com qualquer resposta.
Nem Nozomi nem URLhaus estabelecem se o serviço C2 na porta 9931 ou o gateway IPFS na porta 8080 estava acessÃvel. O status do URLhaus se aplica apenas aos URLs de download listados. Nozomi também não informa se o servidor C2 configurado em 64[.]89.163.8:9931 emitiu algum comando.
Se isso acontecer, os outros mecanismos de persistência do Tengu terão outra chance de relançá-lo. O Nozomi Networks Labs observou o conta-gotas alcançando seus honeypots por meio da força bruta da credencial Telnet.
Tengu oferece suporte a 25 métodos distribuÃdos de negação de serviço (DDoS). Ele também pode executar um proxy SOCKS5, executar comandos shell e coletar dados do sistema e da rede. O malware pode se atualizar e recuperar cargas adicionais de formato executável e vinculável (ELF) ou pacote Android (APK).
Nozomi listou amostras especÃficas de arquitetura para i386, AMD64, MIPS, ARM, PowerPC e m68k. O relatório não identifica nenhum fornecedor ou modelo de dispositivo especÃfico. Ele também não menciona nenhum operador, número de infecções ou vÃtimas de DDoS no mundo real. Mostra o que o Tengu pode fazer, não até que ponto se espalhou.
Os defensores devem começar removendo a exposição da Internet ao Telnet e outros serviços administrativos desnecessários e substituindo as credenciais padrão. Nozomi também recomenda atualizar o firmware, segmentar redes da Internet das Coisas (IoT) e revisar serviços systemd, scripts de inicialização, arquivos de inicialização do shell e caminhos relacionados ao cron antes de retornar um dispositivo suspeito ao serviço.
O Nozomi Networks Labs publicou sua análise em 27 de julho de 2026. Nozomi disse que a persistência e o código de autodefesa do Tengu o fizeram se destacar entre as amostras derivadas do Mirai que ele rastreia. “A maioria das variantes do Mirai implementa poucas ou nenhuma dessas capacidades de autodefesa”, disseram os pesquisadores.
Depois de executado, o bot bifurca um guardião independente que verifica o processo principal do malware a cada 60 segundos e reinicia o binário instalado se ele parar. Ele também pode criar um serviço systemd falso, adicionar scripts init e RC, alterar arquivos de inicialização do shell e marcar seu binário instalado como imutável. Uma rotina de persistência baseada em cron está presente, mas Nozomi disse que sua referência a /proc/self/exe parece inacabada ou quebrada.
Um segundo mecanismo abusa do watchdog de hardware do dispositivo. Um trabalhador em segundo plano se disfarça como [kworker/0:0], reabre o dispositivo watchdog, se disponÃvel, arma-o com um tempo limite de aproximadamente 30 segundos e envia sinais de manutenção de atividade apenas enquanto o processo principal do malware permanece ativo. Mate o processo e o watchdog para de ser alimentado, permitindo que o dispositivo seja reinicializado. Os outros mecanismos de persistência do Tengu podem então tentar reiniciá-lo.
Tengu também carrega uma lista codificada de utilitários de reinicialização e desligamento. Ele substitui seus cabeçalhos ELF pela string ELFOOD, que pode interferir nos comandos normais que os defensores podem usar para reiniciar ou desligar com segurança um dispositivo comprometido.
A amostra analisada foi configurada para se comunicar com um servidor de comando e controle (C2) em 64[.]89.163.8 pela porta TCP 9931. Registro, tráfego de pulsação e saÃda de comando são enviados em texto simples, enquanto comandos e atualizações do servidor usam um esquema de criptografia autenticado semelhante ao ChaCha20/Poly1305 personalizado.
Tengu também pode obter um identificador de conteúdo fornecido por C2 de um gateway InterPlanetary File System (IPFS) no mesmo servidor, validar o resultado como um ELF ou APK e executá-lo ou instalá-lo.
Nozomi avaliou que o caminho do APK provavelmente tem como alvo caixas de Android TV ou dispositivos semelhantes mal protegidos, mas não documentou vÃtimas Android confirmadas.
A URLhaus registrou de forma independente 17 URLs de malware em 64[.]89.163.8 a partir de 17 de junho de 2026. Os registros incluÃam um script de shell, vários arquivos ELF marcados como Mirai e um APK. As entradas de carga útil mais recentes do URLhaus foram vistas pela primeira vez em 7 de julho, e todos os 17 URLs estavam off-line em 28 de julho.
URLhaus não identifica os arquivos como Tengu. Em 28 de julho, nenhum dos hashes SHA-256 listados em seu registro de host correspondia ao hash de amostra publicado por Nozomi. Sua telemetria, portanto, confirma apenas hospedagem maliciosa relacionada ao Mirai no endereço.
O Hacker News entrou em contato com a Nozomi Networks para obter detalhes adicionais sobre a escala observada do Tengu, o status da infraestrutura e a ligação da amostra, e atualizará a história com qualquer resposta.
Nem Nozomi nem URLhaus estabelecem se o serviço C2 na porta 9931 ou o gateway IPFS na porta 8080 estava acessÃvel. O status do URLhaus se aplica apenas aos URLs de download listados. Nozomi também não informa se o servidor C2 configurado em 64[.]89.163.8:9931 emitiu algum comando.
Fonte: https://thehackernews.com
#samirnews #samir #news #boletimtec #tengu #botnet #reinicia #dispositivos #linux #comprometidos #quando #os #defensores #interrompem #seu #processo
🎉 Obrigado por acompanhar, até a próxima notÃcia!
Postar um comentário