Botnetz-Malware: Tengu kapert Linux-Systeme und wehrt sich mit Reboots
Sicherheitsforscher von Nozomi Networks haben eine Mirai-basierte Botnetz-Malware namens Tengu analysiert. Angreifer erhalten damit laut dem Bericht der Forscher(öffnet im neuen Fenster) nicht nur weitreichende Zugriffsrechte auf infizierte Systeme. Auch bei der Persistenz sticht die Malware hervor: Versuche, die Schadsoftware zu terminieren, münden in erzwungenen Reboots, woraufhin auch die Tengu-Malware wieder startet.
Die Experten untersuchten die Malware auf einem kompromittierten Honeypot-System. Infiltriert wurde dieses den Angaben zufolge durch einen Brute-Force-Angriff auf einen dort laufenden Telnet-Dienst.
Ob die Angreifer immer diesen Infektionsweg wählen, ist jedoch unklar. Denkbar ist, dass Tengu über verschiedene Angriffsvektoren verbreitet wird.
Malware mit vielfältigen Funktionen
Ist ein System infiziert, können Angreifer nach Belieben darauf zugreifen. Tengu bietet Funktionen, mit denen sich DDoS-Attacken auf ausgewählte Ziele ausführen oder Proxy-Dienste einrichten lassen. Mit Letzteren können Angreifer ihren eigenen Datenverkehr über die infiltrierten Systeme leiten und ihren Traffic dadurch verschleiern.
Darüber hinaus können sie auf infiltrierten Linux-Systemen auch Systeminformationen (etwa zur Auslastung und Hardwareausstattung) auslesen, weiteren Schadcode nachladen sowie beliebige Befehle einschleusen und zur Ausführung bringen. Jede dieser Aktionen wird über einen externen Kontrollserver gesteuert, dessen IP-Adresse XOR-kodiert im Code der Malware hinterlegt ist.
Tengu wehrt sich
Bei der Bereinigung infizierter Systeme macht es Tengu Administratoren zudem nicht leicht. Die Schadsoftware richtet eine Watchdog-Routine ein, die auf Versuche reagiert, die Malware zu terminieren. Sie versucht dann, den Hauptprozess von Tengu neu zu starten und erzwingt dafür bei Bedarf sogar einen Reboot des gesamten Systems.
Überdies wehrt sich die Schadsoftware auch gegen mögliche Konkurrenten. Sie scannt auf infizierten Systemen unter anderem alle laufenden Prozesse und sucht nach möglichen Infektionen mit anderer Malware. Wird eine solche gefunden, versucht Tengo, die Konkurrenz zu entfernen.
Zum Schutz vor dem Tengu-Botnetz empfehlen die Nozomi-Forscher Administratoren, ihre Linux-basierten Netzwerk- und IoT-Geräte stets auf dem neuesten Stand zu halten, sichere Zugangsdaten zu verwenden sowie ihre Netzwerke angemessen zu segmentieren und kontinuierlich auf verdächtige Aktivitäten zu überwachen. Dafür nützliche Kompromittierungsindikatoren sind am Ende des Berichts der Forscher(öffnet im neuen Fenster) zu finden.
- Anzeige Hier geht es zu Hacking & Security: Das umfassende Handbuch bei Amazon Wenn Sie auf diesen Link klicken und darüber einkaufen, erhält Golem eine kleine Provision. Dies ändert nichts am Preis der Artikel.