Inhaltsverzeichnis
Ein cleveres Botnetz, das von Mirai abgeleitet ist und unter dem Namen Tengu bekannt ist, stellt neue Herausforderungen für Cybersicherheitsexperten dar. Durch die Ausnutzung eines integrierten Hardwaremechanismus von Linux-Geräten startet Tengu infizierte Systeme neu, um seine Beständigkeit zu gewährleisten, selbst nachdem es unterbrochen wurde. Diese komplexe Taktik erschwert die Arbeit der Verteidiger und unterstreicht die ständige Weiterentwicklung digitaler Bedrohungen.
Stellen Sie sich vor, Sie sind ein Netzwerkadministrator, der glaubt, endlich eine drückende Bedrohung neutralisiert zu haben, als plötzlich das System neu startet und die Bedrohung wieder auftaucht. Genau diesen Albtraum könnten Sie mit Tengu erleben, einem hartnäckigen Botnetz, das sich nicht leicht unterkriegen lässt. Seine Fähigkeit, sich nach jedem Löschversuch neu zu starten, macht es umso bedrohlicher. Tauchen wir in die Funktionsweise dieses raffinierten Botnetzes ein und entdecken wir, wie es den Neustart als geheime Waffe einsetzt.
Das Wesentliche in Kürze
Tengu zeichnet sich durch seine Fähigkeit aus, sich selbst nach dem Stoppen seines Hauptprozesses aufrechtzuerhalten. Diese Widerstandsfähigkeit beruht auf der Ausnutzung des Hardware-Watchdogs, einer wesentlichen Komponente in vielen verbundenen Geräten. Normalerweise startet dieses Gerät eine Maschine neu, die nicht mehr reagiert, indem es regelmäßig Betriebssignale empfängt. Tengu kapert diese Funktion, indem es einen sekundären Prozess verwendet, der diese Signale sendet, wodurch sichergestellt wird, dass das System neu startet, wenn der Hauptprozess gestört wird.
Um die Aufgabe der Administratoren weiter zu erschweren, tarnt sich Tengu unter dem Namen einer Systemkomponente und vervielfacht die Einstiegspunkte, um sich neu zu starten. Sei es über systemd-Dienste, Startskripte oder in Shells eingefügte Befehle, jeder Löschversuch kann zu einem Neustart und einer Rückkehr des Botnetzes führen.
Von Nozomi Networks Labs entdeckt, zielt Tengu hauptsächlich auf anfällige Linux- und IoT-Geräte ab. Das Botnetz verwendet Brute-Force-Angriffe auf exponierte Telnet-Dienste, um in die Systeme einzudringen. Einmal drinnen, kann es DDoS-Angriffe starten, sich in einen SOCKS5-Proxy verwandeln und Remote-Befehle ausführen, wodurch die Schwächen unzureichend geschützter Geräte ausgenutzt werden.
Fachleute empfehlen, unnötige Schnittstellen zu deaktivieren und komplexe Passwörter zu verwenden, um diesen Angriffen entgegenzuwirken. Regelmäßige Firmware-Updates und die Isolierung verbundener Objekte vom Hauptnetzwerk sind ebenfalls entscheidend, um die Sicherheit zu stärken.
Im Falle eines Verdachts auf eine Infektion durch Tengu reicht es nicht aus, den Prozess zu stoppen. Administratoren müssen verschiedene Systemelemente überprüfen, wie systemd-Dienste, Init- und RC-Skripte sowie Cron-Jobs, um sicherzustellen, dass keine Spuren der Malware verbleiben. Wenn die Systemintegrität gefährdet ist, kann eine vollständige Zurücksetzung erforderlich sein. Nach diesem Vorgang ist es wichtig, eine saubere Firmware neu zu installieren, die Anmeldeinformationen zu ändern und sicherzustellen, dass das Gerät nicht mehr über das Internet zugänglich ist.
Botnetze wie Tengu veranschaulichen die schnelle Entwicklung von Online-Bedrohungen und die Notwendigkeit, dass Cybersicherheitsexperten ständig wachsam bleiben. Die Fähigkeit dieser Botnetze, sich anzupassen und nach jedem Löschversuch neu zu starten, beleuchtet die wachsenden Herausforderungen, denen Unternehmen gegenüberstehen. Investitionen in fortschrittliche Sicherheitslösungen und die Sensibilisierung der Benutzer für bewährte Verfahren sind wesentliche Strategien, um diesen Bedrohungen entgegenzuwirken.
In einem Kontext, in dem Brute-Force-Angriffe häufig sind, wird die Verwendung starker Passwörter zu einer absoluten Notwendigkeit. Unternehmen sollten die Verwendung komplexer und einzigartiger Passwörter fördern, die mit einer Multi-Faktor-Authentifizierung kombiniert werden, um ihre Systeme effektiv zu schützen. Technologieriesen wie Microsoft haben bereits strenge Passwortverwaltungsrichtlinien eingeführt, um Sicherheitsrisiken zu mindern.
Was ist der Hauptüberlebensmechanismus von Tengu?
Tengu nutzt den Hardware-Watchdog von Linux-Geräten, um die Systeme automatisch neu zu starten, wenn sein Hauptprozess unterbrochen wird, was ihm ermöglicht, sich nach jedem Löschversuch neu zu starten.
Wie dringt Tengu in Systeme ein?
Das Botnetz Tengu verwendet Brute-Force-Angriffe auf exponierte Telnet-Dienste, um in anfällige Systeme einzudringen, hauptsächlich solche von schlecht geschützten Linux- und IoT-Geräten.
Welche Maßnahmen können ergriffen werden, um sich vor Tengu zu schützen?
Um sich vor Tengu zu schützen, wird empfohlen, Telnet und unnötige Verwaltungsschnittstellen zu deaktivieren, die Firmware regelmäßig zu aktualisieren und starke und einzigartige Passwörter zu verwenden.
Was tun bei einer vermuteten Infektion durch Tengu?
Es ist wichtig, die systemd-Dienste, Init- und RC-Skripte sowie Cron-Jobs zu überprüfen, um alle Spuren der Malware zu beseitigen. Bei Bedarf kann eine vollständige Systemzurücksetzung durchgeführt werden, um die Systemintegrität wiederherzustellen.