){kind=link}
Um novo botnet derivado do código-fonte do Mirai, batizado de Tengu, chamou a atenção da empresa de cibersegurança Nozomi Networks Labs ao adotar técnicas inéditas de autodefesa e persistência. O malware infecta equipamentos operados por Linux e dispositivos de Internet das Coisas (IoT) ao explorar o temporizador de hardware da própria máquina (hardware watchdog). Caso o processo principal da ameaça seja encerrado por analistas ou ferramentas de proteção, o sistema é forçado a reiniciar.
O reinício do sistema operacional concede às outras rotinas de persistência instaladas pelo Tengu a oportunidade de reexecutar o código malicioso. “A maioria das variantes do Mirai implementa poucas ou nenhuma dessas capacidades de autodefesa”, destacaram os pesquisadores da Nozomi, no relatório publicado nesta semana.
smart_display
Nossos vídeos em destaque
Invasão e instalação
A porta de entrada observada nos ambientes de teste da consultoria ocorreu por meio de ataques de força bruta contra credenciais de acesso via serviço Telnet. Após a invasão inicial, o malware baixa o arquivo correspondente ao sistema e inicia uma série de rotinas para se consolidar no ambiente.
Para manipular o temporizador de hardware, o Tengu cria um processo secundário disfarçado de rotina do sistema e envia sinais de vida apenas enquanto a aplicação principal permanece ativa. Se o processo central for interrompido, o envio do sinal cessa e o hardware força a reinicialização automática do aparelho.
Paralelamente, o botnet carrega uma lista com os caminhos dos utilitários de desligamento do sistema e sobrescreve seus arquivos, o que impede que os administradores desliguem o equipamento de forma convencional. Nesse contexto, um vírus é parte de uma rede que converte computadores e outros dispositivos em um cliente zumbi – capaz de receber ordens arbitrárias de criminosos.
A ameaça também verifica se está rodando a partir do disco e tenta migrar a execução para a memória RAM ao alterar o nome de exibição para se disfarçar como um serviço legítimo de registro do sistema. Para garantir exclusividade no acesso, o programa faz varreduras contínuas para identificar e encerrar malwares concorrentes que estejam disputando os recursos da mesma máquina.
Na comunicação com a central de comando, o Tengu recebe ordens criptografadas que incluem a execução de até 25 modalidades de ataques de negação de serviço (DDoS), o redirecionamento de tráfego de rede, a coleta de dados do sistema e a capacidade de baixar e instalar novas cargas maliciosas em sistemas Linux e Android.
Sobre o impacto para a infraestrutura das empresas, os analistas alertaram para os riscos da falta de manutenção.
“Para os defensores, a principal lição é que sistemas de IoT e Linux embarcados expostos e mal mantidos continuam sendo pontos de apoio atraentes para atacantes”, apontaram os pesquisadores da Nozomi no documento. “Uma vez comprometidos, esses dispositivos podem ser usados não apenas para participar de campanhas de DDoS em grande escala, mas também para redirecionar tráfego, coletar informações e resistir à remoção”, pontuaram.
)
Além do levantamento da Nozomi, a plataforma independente de rastreamento de ameaças URLhaus registrou 17 endereços de download associados ao mesmo servidor de comando do Tengu a partir de junho de 2026.
A URLhaus confirmou a presença de arquivos maliciosos ativos no local, embora não tenha vinculado formalmente as amostras ao nome do novo botnet. Nenhuma das duas entidades confirmou se o servidor emitiu ordens em larga escala a vítimas reais.
Falando sobre malware e segurança digital, pesquisadores da empresa Qualys descobriram uma falha de nove anos no Linux que permite acesso total a servidores e sistemas corporativos. Siga o TecMundo no X, Instagram, Facebook e YouTube e assine a nossa newsletter para receber as principais notícias e análises diretamente no seu e-mail.