Botnetz-Malware: Tengu kapert Linux-Systeme und wehrt sich mit Reboots

Eine neue Bedrohung für Linux-Umgebungen

Linux-basierte Systeme und IoT-Geräte stehen zunehmend im Fokus von Cyberkriminellen. Aktuelle Analysen von Sicherheitsforschern bei Nozomi Networks haben eine neue Botnetz-Malware namens Tengu identifiziert, die auf Linux-Systeme abzielt. Die Schadsoftware basiert auf dem bekannten Mirai-Quellcode, wurde jedoch um aggressive Funktionen erweitert, die sowohl die Persistenz auf dem Zielsystem als auch die Verteidigung gegen Sicherheitsmaßnahmen betreffen.

Infektionswege und Funktionsweise

Die Entdeckung der Malware erfolgte durch die Untersuchung eines kompromittierten Honeypots. In diesem speziellen Fall gelangten die Angreifer über einen Brute-Force-Angriff auf einen exponierten Telnet-Dienst in das System. Ob dies der exklusive Verbreitungsweg für Tengu ist, bleibt nach aktuellem Kenntnisstand offen; Experten halten es für wahrscheinlich, dass die Hintermänner verschiedene Angriffsvektoren nutzen, um eine möglichst breite Basis an infizierten Geräten zu erreichen.

Sobald die Malware ein System infiltriert hat, erhalten die Angreifer weitreichende Kontrolle. Die Funktionalitäten von Tengu sind vielfältig und umfassen:

* **DDoS-Attacken:** Durchführung koordinierter Angriffe auf externe Ziele.

* **Proxy-Dienste:** Die infizierten Systeme dienen als Zwischenstationen, um den Datenverkehr der Angreifer zu verschleiern.

* **Systemanalyse:** Auslesen von Hardwareinformationen und Auslastungsdaten.

* **Code-Nachladung:** Die Möglichkeit, weiteren Schadcode auf das System zu übertragen.

* **Befehlsausführung:** Die direkte Injektion und Ausführung beliebiger Kommandos.

Die Steuerung dieser Aktionen erfolgt über einen externen Kontrollserver. Um die Kommunikation zu erschweren, ist die IP-Adresse dieses Servers innerhalb des Malware-Codes mittels einer XOR-Kodierung verschleiert.

Aktive Gegenwehr: Wenn die Malware den Neustart erzwingt

Eine besondere Herausforderung stellt Tengu für Administratoren bei der Systembereinigung dar. Die Malware implementiert eine Watchdog-Routine, die den Betrieb des Hauptprozesses überwacht. Sollten Sicherheitsverantwortliche versuchen, den Prozess zu terminieren, reagiert die Schadsoftware umgehend mit einem Neustart des Prozesses. In hartnäckigen Fällen erzwingt Tengu sogar einen kompletten Reboot des gesamten Linux-Systems, um sicherzustellen, dass die Malware unmittelbar nach dem Hochfahren wieder aktiv ist.

Zusätzlich agiert Tengu als Konkurrent auf dem infizierten System. Die Malware scannt laufende Prozesse auf Anzeichen anderer Schadsoftware. Wird eine solche entdeckt, versucht Tengu, die konkurrierende Malware zu entfernen, um die exklusive Kontrolle über die Ressourcen des Systems zu behalten.

Schutzmaßnahmen für Administratoren

Die Persistenz und die aggressiven Verteidigungsmechanismen von Tengu unterstreichen die Notwendigkeit einer proaktiven Sicherheitsstrategie. Die Experten von Nozomi Networks raten dazu, die Sicherheit von Linux-basierten Netzwerk- und IoT-Geräten durch folgende Maßnahmen zu erhöhen:

* **Regelmäßige Updates:** Software und Firmware sollten stets auf dem neuesten Stand gehalten werden, um bekannte Schwachstellen zu schließen.

* **Starke Authentifizierung:** Die Verwendung sicherer und komplexer Zugangsdaten ist essenziell, um Brute-Force-Angriffe zu erschweren.

* **Netzwerksegmentierung:** Durch eine sinnvolle Unterteilung des Netzwerks lässt sich die Ausbreitung von Schadsoftware begrenzen.

* **Kontinuierliches Monitoring:** Eine fortlaufende Überwachung auf verdächtige Aktivitäten hilft dabei, Infektionen frühzeitig zu erkennen.

Für eine gezielte Suche nach Tengu-Spuren stellen die Forscher spezifische Kompromittierungsindikatoren (Indicators of Compromise, IoCs) zur Verfügung, die in ihrem Analysebericht aufgeführt sind. Angesichts der komplexen Funktionsweise von Tengu ist eine schnelle Reaktion bei Verdachtsmomenten entscheidend, um den Einfluss der Botnetz-Malware auf die eigene Infrastruktur zu minimieren.