Was ist passiert?
Der neu entdeckte Tengu-Botnet, eine Variante des bekannten Mirai-Botnets, verfügt über eine bemerkenswerte Schutzmechanismus: Wenn Sicherheitsexperten seinen Hauptprozess beenden, nutzt Tengu den Hardware-Watchdog des Linux-Geräts, um einen automatischen Neustart auszulösen. Nach dem Reboot können alternative Persistenzmechanismen den Botnet erneut starten. Das Sicherheitslabor von Nozomi Networks hat beobachtet, dass der Dropper primär durch Telnet-Brute-Force-Angriffe auf Honeypots zugreift.
Hintergrund & Bedeutung
Tengu unterstützt mindestens 25 verschiedene DDoS-Angriffstypen (Distributed Denial of Service) und zielt bevorzugt auf Linux-Systeme ab. Der Einsatz des Hardware-Watchdogs ist eine innovative Defensivtaktik, die es dem Botnet erschwert, von traditionellen Abwehrmaßnahmen eliminiert zu werden. Dies macht Tengu zu einer erheblichen Bedrohung für kritische Infrastrukturen und IoT-Geräte. Die Tatsache, dass der Zugriff über schwache Telnet-Anmeldedaten erfolgt, unterstreicht die Wichtigkeit robuster Authentifizierungsmechanismen.
Empfehlungen für IT-Teams
- Deaktivieren Sie Telnet vollständig und nutzen Sie SSH mit starken Authentifizierungsverfahren
- Implementieren Sie regelmäßige Patches und Updates für alle Linux-Systeme
- Überwachen Sie Hardware-Watchdog-Aktivitäten und unerwartete Neustarts
- Führen Sie Netzwerk-Segmentierung durch, um die Ausbreitung zu begrenzen
- Nutzen Sie Intrusion Detection Systeme (IDS) zur Früherkennung
Fazit
Tengu demonstriert die wachsende Sophistikation moderner Botnetze. Organisationen müssen ihre Abwehrstrategien kontinuierlich anpassen und bewährte Sicherheitspraktiken konsequent umsetzen.
Quelle: Original Artikel