Tengu: il botnet che trasforma il reboot in trappola forense

Tengu, variante Mirai scoperta da Nozomi Networks, abusa il watchdog hardware dei dispositivi Linux embedded per forzare il reboot automatico e cancellare le

Il 27 luglio 2026 Nozomi Networks Labs ha reso pubblica l'analisi di Tengu, una variante del botnet Mirai che sovverte la logica stessa della risposta agli incidenti su dispositivi IoT. Il malware non si limita a infettare: rende la terminazione del processo — il primo riflesso difensivo di ogni analista — un trigger per la distruzione automatica delle evidenze volatili. Il mezzo è il watchdog timer hardware, un circuito di sicurezza presente in praticamente ogni dispositivo embedded Linux.

Punti chiave

Tengu è un botnet derivato da Mirai scoperto dal sistema di anomaly detection machine learning di Nozomi Networks Labs.
Il malware abusa il watchdog timer hardware per forzare un reboot automatico in circa 30 secondi quando il processo principale viene terminato, cancellando le evidenze forensi volatili.
Tengu sovrascrive i binari di sistema reboot e shutdown con la stringa 'ELFOOD', impedendo il riavvio normale e frustrando le contromisure manuali.
Il botnet supporta 25 metodi DDoS, esecuzione fileless via memfd_create, proxy SOCKS5 e mascheramento come systemd-journald, con binari compilati per sei architetture diverse.

Come Tengu trasforma il watchdog in guardiano del malware

Il watchdog timer è un componente architetturale, non una vulnerabilità da patchare. Presente in router, telecamere, DVR e dispositivi smart home, è progettato per riavviare automaticamente un sistema bloccato. Tengu ne crea una dipendenza artificiale: un processo figlio, mascherato da [kworker/0:0], riapre il device del watchdog e alimenta il segnale di keepalive solo finché il processo principale resta attivo.

Secondo l'analisi pubblicata da The Hacker News, la scadenza del timer è di circa 30 secondi. Un analista che termini il processo principale — l'operazione più immediata in un incident response — interrompe il keepalive. Il watchdog scade, il sistema reboota, e con esso svaniscono dalla RAM processi in esecuzione, connessioni di rete aperte, artefatti memfd_create e altre evidenze volatili. Al riavvio, i meccanismi di persistenza già installati rilanciano il malware.

TechTimes, riportando l'analisi di Nozomi, sottolinea che "la tecnica che Tengu utilizza non è un exploit specifico di un dispositivo, ma una proprietà architetturale presente in praticamente ogni dispositivo embedded Linux sul mercato". Questa generalità rende la minaccia trasversale a intere categorie hardware, non vincolata a un vendor o a una famiglia di prodotti.

Le contromisure interne: quando il difensore non può più riavviare

Tengu implementa una seconda linea di difesa attiva contro gli analisti. Il malware sovrascrive gli header ELF dei binari di sistema reboot e shutdown con la stringa 'ELFOOD', corrompendoli in modo che i comandi manuali di riavvio falliscano. Questa tecnica, documentata sia da Nozomi Networks che da The Hacker News, blocca una delle contromisure standard: forzare un reboot pulito per interrompere il malware residente in memoria.

L'esecuzione fileless rafforza ulteriormente l'occultamento. Tengu utilizza la system call memfd_create per eseguire il binario da un file descriptor anonimo residente in RAM, senza lasciare traccia su disco. Il processo si rietichetta come /usr/lib/systemd/systemd-journald, mimetizzandosi tra i servizi legittimi del sistema. Sandfly Security, in una guida tecnica generica sulla detection di memfd_create, spiega che questa tecnica rende l'analisi post-mortem tradizionale inefficace se non si interviene su sistema live.

La persistenza è molteplice: un guardian process nascosto verifica ogni 60 secondi lo stato del processo principale; vengono creati falsi servizi systemd e script init/RC; è presente un riferimento incompleto a un meccanismo cron basato su /proc/self/exe. Secondo Nozomi, questo riferimento potrebbe essere intenzionalmente incompiuto o un artefatto di sviluppo non terminato.

"La maggior parte delle varianti Mirai implementa poche, se alcune, di queste capacità di autodifesa" — ricercatori Nozomi Networks Labs

C2, crittografia e infrastruttura: il quadro Nozomi

Il server di comando e controllo configurato è raggiungibile all'indirizzo IP 64[.]89.163.8:9931. Le comunicazioni di registrazione e heartbeat avvengono in plaintext; i comandi del server e gli aggiornamenti utilizzano invece una crittografia custom di tipo ChaCha20/Poly1305-like, secondo quanto documentato da The Hacker News. Tengu può scaricare payload aggiuntivi in formato ELF o APK attraverso un gateway IPFS ospitato sullo stesso server C2.

L'infrastruttura è tracciata anche al di fuori dell'analisi Nozomi. URLhaus ha registrato 17 URL malevoli associati allo stesso indirizzo IP a partire dal 17 giugno 2026. Tuttavia, come precisa The Hacker News, nessuno degli hash SHA-256 catalogati da URLhaus corrisponde ai sample identificati da Nozomi. Questa discrepanza impedisce di confermare che gli URL URLhaus distribuiscano specificamente Tengu, pur documentando attività malevola sulla medesima infrastruttura. URLhaus classifica gli URL come offline, senza tuttavia verificare lo stato attuale del canale C2.

Nozomi ha pubblicato indicatori di compromissione che includono hash SHA-256 per sei architetture: i386, amd64, MIPS, ARM, PowerPC e m68k. Questa copertura architetturale eccezionalmente ampia per un botnet IoT suggerisce un progetto di porting sistematico e una base di codice progettata per massima diffusione.

Cosa fare adesso

Raccogliere evidenze volatili prima di terminare qualsiasi processo sospetto su dispositivi embedded Linux: il reboot automatico di Tengu cancella RAM, connessioni e artefatti memfd_create in circa 30 secondi dalla terminazione.
Verificare l'integrità dei binari di sistema reboot, shutdown e correlati su dispositivi IoT/embedded: la corruzione con stringhe come 'ELFOOD' è un indicatore specifico di questa variante.
Analizzare i processi mascherati da [kworker/0:0] o systemd-journald con attenzione alle anomalie di tempo e alle parentele processuali: Tengu utilizza questi nomi per occultare il guardian process e il worker del watchdog.
Controllare le connessioni verso l'IP 64[.]89.163.8:9931 e monitorare il traffico IPFS interno: il gateway IPFS sul C2 è un vettore di payload aggiuntivi documentato dall'analisi.

Da Windows all'IoT: la convergenza delle tecniche anti-rimozione

La rilevanza di Tengu va oltre il singolo campione. Nozomi Networks la colloca in un arco più ampio: le tecniche di anti-rimozione e anti-analisi finora associate principalmente al malware Windows stanno migrando verso l'ecosistema IoT. Il livello minimo di sofisticazione difensiva richiesto ai team di sicurezza sale di conseguenza.

Il paradosso operativo è chiaro. Per decenni, il reboot è stato l'arma del sistemista disperato: spegni, riaccendi, spera. Tengu inverte la polarità. Il reboot diventa la trappola, non la soluzione. Gli analisti devono ora addestrare procedure che contraddicono l'istinto: osservare prima di toccare, documentare prima di terminare, assumere che la memoria sia fragile e che il watchdog sia armiato.

La fonte non fornisce stime sulla scala dell'infezione, né identifica l'attore minaccia dietro Tengu. Resta ignoto se la logica DGA dormiente sia mai stata attivata in campo, e se il meccanismo cron incompleto rappresenti un errore o una funzionalità deliberatamente disattivata. Questi limiti non attenuano il segnale: l'architettura di difesa attiva dimostrata da Tengu è replicabile, e probabilmente sarà replicata.

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti

Fonti e riferimenti