Botnet Tengu adota 25 técnicas diferentes para derrubar serviços online e manter controle de dispositivos conectados
Uma nova botnet batizada de Tengu está se espalhando por dispositivos de Internet das Coisas (IoT) e sistemas Linux embarcados, com um foco claro: montar uma infraestrutura massiva para ataques de negação de serviço distribuída (DDoS), desviar tráfego e garantir acesso contínuo às máquinas comprometidas. Trata-se de uma evolução direta do famoso malware Mirai, mas com recursos atualizados e mecanismos de persistência muito mais agressivos.
A cadeia de infecção observada começa de forma clássica, explorando uma das maiores fragilidades ainda presentes em ambientes conectados: serviços Telnet expostos à internet, muitas vezes com senhas fracas ou padrão de fábrica. Os operadores do Tengu realizam ataques de força bruta contra esses serviços, testando combinações de credenciais até encontrar um login válido. Assim que conseguem acesso, um script automatizado faz o download, a partir da internet, da variante do malware adequada à arquitetura do equipamento – seja MIPS, ARM, x86 ou outro processador utilizado em roteadores, câmeras IP e dispositivos industriais.
Uma vez instalado, o Tengu passa a se comunicar com o servidor de comando e controle (C2) por meio de um canal parcialmente criptografado. Essa proteção não é completa, mas dificulta a análise de tráfego e a detecção por mecanismos simples de monitoramento de rede. A partir desse C2, os operadores conseguem enviar instruções em tempo real, coletar informações detalhadas sobre o sistema e a rede, atualizar o implante com novas versões e, se desejarem, transformar o dispositivo em um proxy SOCKS5, que pode ser usado para anonimizar outras atividades maliciosas.
O poder destrutivo do Tengu se revela na quantidade e diversidade de técnicas de DDoS integradas ao seu código. A botnet concentra nada menos que 25 métodos de ataque diferentes, combinando inundações UDP, TCP e ICMP com vetores mais específicos. Entre os alvos suportados estão serviços HTTP, DNS, NTP, SSH, SMTP, FTP, SIP, além de servidores de jogos, como Minecraft, e infraestruturas baseadas nos protocolos Source Engine e Quake. Essa variedade permite que os criminosos escolham o tipo de ataque mais adequado para cada alvo, explorando particularidades de protocolos e serviços para maximizar o impacto.
Um dos grandes diferenciais do Tengu em relação a botnets mais antigas está na sua engenharia de persistência e autoproteção. O malware não se contenta em simplesmente rodar na memória: ele cria um processo secundário que monitora o processo principal a cada 60 segundos. Se perceber que a execução foi encerrada – seja por um administrador, seja por uma ferramenta de segurança – esse “vigia” imediatamente reinicia o componente principal, restaurando a infecção. Em paralelo, o Tengu instala serviços falsos do systemd e scripts de inicialização, garantindo que o código volte a ser executado a cada reboot do sistema operacional.
A ameaça vai além da persistência tradicional ao manipular o watchdog do equipamento, um mecanismo de hardware ou software projetado para reiniciar o sistema em caso de falhas. O Tengu consegue acionar esse watchdog de forma maliciosa, forçando uma reinicialização quando detecta que seu processo foi removido. Com isso, aumenta as chances de ser reincorporado ao fluxo de inicialização do sistema e de recuperar o controle do dispositivo, mesmo após tentativas de limpeza.
Outro ponto preocupante é a capacidade do Tengu de sabotar componentes legítimos do sistema. O malware é capaz de corromper programas de desligamento e reinicialização, impedindo que o administrador execute um shutdown controlado ou reinicie o equipamento de forma segura. Isso não só atrapalha a resposta a incidentes, como também pode provocar indisponibilidade prolongada em ambientes que dependem desses dispositivos para operações críticas, como redes corporativas, provedores de internet ou estruturas de automação industrial.
Além de se proteger contra a ação de administradores e soluções de segurança, o Tengu também é “ciumento” em relação ao controle dos dispositivos que infecta. O código inclui rotinas específicas para identificar e remover malwares concorrentes que estejam disputando os mesmos recursos. Ao eliminar outras famílias de botnets, o Tengu assegura que todo o poder computacional e de banda do equipamento seja dedicado exclusivamente às campanhas de seus operadores, tornando a infraestrutura criminoso mais estável e previsível.
O contexto em que o Tengu surge é particularmente sensível. A superfície de ataque global se expandiu de forma explosiva nos últimos anos, impulsionada pela proliferação de dispositivos IoT e sistemas embarcados conectados 24 horas por dia. Roteadores domésticos, câmeras de vigilância, gravadores de vídeo em rede, sensores industriais e até equipamentos médicos muitas vezes chegam ao mercado com configurações inseguras, senhas padrão e atualizações escassas. Esse cenário é um prato cheio para botnets modernas, que enxergam nesses dispositivos “esquecidos” uma fonte praticamente inesgotável de novos zumbis.
Ao mesmo tempo, o setor de segurança vive um momento de transição, com o uso crescente de inteligência artificial em ferramentas de defesa, testes de intrusão e análise de ameaças. Plataformas de pentest automatizado com IA, por exemplo, prometem identificar falhas com mais rapidez e escala. Porém, os próprios sistemas baseados em IA também estão se tornando alvo, seja para roubo de modelos, manipulação de dados de treinamento ou uso indevido das capacidades de automação. Nesse contexto, uma botnet como o Tengu pode servir como infraestrutura auxiliar para atacar ou explorar serviços de IA expostos na internet, seja por meio de DDoS contra APIs críticas, seja por uso de proxies para ocultar a origem de tentativas de invasão.
Do ponto de vista defensivo, a presença de 25 vetores de DDoS dentro de um único malware representa um desafio significativo. Provedores de serviços e empresas que dependem de disponibilidade contínua precisam considerar estratégias de mitigação que vão além de bloquear apenas um ou dois tipos de tráfego suspeito. Soluções de defesa modernas tendem a combinar análise comportamental, scrubbing em nuvem, filtros de aplicação e mecanismos de rate limiting específicos para protocolos sensíveis, como DNS e NTP. A diversidade de métodos usada pelo Tengu reforça a necessidade de arquiteturas de defesa em múltiplas camadas.
Para proprietários e administradores de dispositivos IoT e sistemas Linux embarcados, a principal medida preventiva continua sendo a redução da superfície de exposição. Isso inclui desativar Telnet sempre que possível, substituir senhas padrão por combinações fortes e únicas, restringir o acesso administrativo por VPN ou túneis seguros e manter firmware e sistemas operacionais atualizados. Em muitas organizações, no entanto, a gestão de inventário de dispositivos conectados é falha ou inexistente, o que permite que equipamentos inseguros permaneçam expostos por anos sem qualquer monitoramento.
Outro ponto crucial é a visibilidade. Como o Tengu consegue se manter ativo mesmo após tentativas superficiais de remoção, confiar apenas em uma limpeza manual do sistema não é suficiente. É essencial ter ferramentas de monitoramento de tráfego capazes de detectar anomalias, como picos súbitos de conexões de saída, uso de portas incomuns ou padrões típicos de participação em ataques DDoS. Em ambientes industriais e de missão crítica, a segmentação de rede também é fundamental, isolando dispositivos IoT em VLANs específicas com regras de firewall bem definidas.
O surgimento do Tengu demonstra que, mesmo anos após o auge do Mirai, a ideia de explorar em massa dispositivos pouco protegidos continua extremamente lucrativa para o cibercrime. A modernização do código, a ampliação dos vetores de ataque e o investimento em persistência e autoproteção indicam que as botnets estão evoluindo para se tornarem plataformas versáteis, prontas para diferentes tipos de operações maliciosas: de simples DDoS a fraudes complexas e suporte a campanhas de intrusão.
Em última análise, a expansão de ameaças como o Tengu expõe um desequilíbrio estrutural: enquanto novas ondas de dispositivos conectados chegam ao mercado com foco em custo e rapidez, os requisitos mínimos de segurança seguem em segundo plano. Sem uma mudança consistente na forma como fabricantes, empresas e usuários tratam a proteção de sistemas embarcados, botnets modernas continuarão tendo um ambiente fértil para crescer e se sofisticar, explorando exatamente as brechas que hoje são negligenciadas.