感染したLinuxデバイスのメインプロセスが強制終了されると、デバイス自体を再起動させて永続化メカニズムに再起動の機会を与える――そんな新種のMirai派生IoTボットネットをNozomi Networks Labsが発見しました。
「Tengu」と名付けられたこのマルウェアは、既知のシグネチャに一致しないマルウェアファミリーを識別するために同社が用いる機械学習システムによって発見されました。
研究者たちは当初、Telnetの認証情報に対するブルートフォース攻撃を通じて、このドロッパーが自社のハニーポットに到達する様子を観測していました。
単なるMiraiの亜種ではないTengu
Nozomiの分析によれば、このマルウェアにはコマンド発行用の暗号化チャネル、感染デバイスを経由したオペレーターの通信の中継、新たなペイロードの配信、システムおよびネットワーク情報の収集、複数プロトコルにまたがる幅広いサービス拒否（DoS）機能など、さまざまな能力が組み込まれています。
「侵害されたLinuxベースのデバイス上でマルウェアを稼働し続け、復旧をより困難にするために設計された、複数の永続化・自己防御メカニズムも備えています」と研究者らは記しています。
Tenguは、平文の登録メッセージや使い回されたDoSコードなど、Miraiのいくつかの特徴を引き継いでいます。さらに、SOCKS5プロキシ、シェルコマンド実行、システムおよびネットワークの偵察機能に加え、同一のコマンド＆コントロール（C2）サーバー上でホストされているIPFSゲートウェイを通じてELFバイナリやAndroid APKをダウンロードする機能も追加されています。
研究者らは、このAPK対応機能がセキュリティ対策の甘いAndroid TVボックスや類似のAndroidベースデバイスを標的にしているとみています。また、このマルウェアには25種類のDDoS手法が含まれています。
削除に耐えるよう設計
デバイス起動時にサービスを自動的に立ち上げる2つのLinuxシステム、systemdとinit.dによる永続化に加えて、Tenguは定期タスクをスケジュールするツールであるcronの利用も試みますが、Nozomiによればこの方法は意図通りには機能していません。このマルウェアは隠れた監視プロセスを作成し、60秒ごとにメインのマルウェアプロセスが稼働中かどうかを確認し、必要であれば再起動させます。
Tenguはさらに、Linuxのハードウェアウォッチドッグも悪用します。カーネルワーカースレッドを装ったバックグラウンドプロセスが、Tenguが稼働している間だけウォッチドッグに信号を送り続けます。防御側がメインプロセスを終了させると、ウォッチドッグへの信号送信が止まり、約30秒後にデバイスが再起動され、マルウェアが自身を復元する新たな機会が生まれます。
ウォッチドッグ処理を行う関数（出典: Nozomi Networks）
このマルウェアは、rebootおよびshutdownのバイナリを「ELFOOD」という文字列で上書きし、管理者が標準コマンドを使って感染システムを再起動または電源オフできないようにします。また別のプロセスが、稼働中のプロセスを繰り返しスキャンし、競合するボットネットを終了させます。
「ほとんどのMirai亜種は、こうした自己防御機能をほとんど、あるいはまったく実装していません」とNozomiは述べています。
検知される可能性を下げるため、Tenguは実行時にのみ文字列を復号し、メモリ上だけで動作することも可能で、自身のプロセス名をsystemd-journaldに変更し、デバッガーがアタッチされていないか確認し、フッキングツールに関連する環境変数を探し、命令の実行タイミングを計測してエミュレーションを検知し、定期的に自身のコードの整合性を検証します。
防御側にできること
Nozomiは、Tenguの背後にいる脅威アクターの特定や、感染デバイス数の推定は行っていません。同社は、セキュリティアップデートの適用、デフォルト認証情報の変更、ネットワークのセグメント化、そしてLinuxベース機器やIoTデバイスにおける不審な挙動の監視を推奨しています。
また、Nozomiはマルウェアの侵害指標（IoC）も公開しており、C2アドレスや6種類のプロセッサアーキテクチャに対応したサンプルのハッシュ値、さらにTenguの戦術・技術に関するMITRE ATT&CKマッピングも含まれています。
翻訳元: https://www.helpnetsecurity.com/2026/07/29/tengu-mirai-iot-botnet-linux/
