Tengu-Botnetz: Linux-Watchdog löscht Spuren bei jedem Neustart
Veröffentlicht am: 28.07.2026 um 19:51 Uhr | Redaktion boerse-global.de
Sicherheitsforscher haben ein raffiniertes Botnetz entdeckt: Tengu missbraucht den Hardware-Watchdog von Linux-IoT-Geräten, um bei Entdeckungsversuchen sofort einen Neustart zu erzwingen.
Das auf dem Mirai-Quellcode basierende Botnetz verbreitet sich vor allem über Brute-Force-Angriffe auf Telnet-Zugänge, berichten die Experten von Nozomi Networks Labs. Ist ein System erst einmal kompromittiert, setzt Tengu auf mehrere Verschleierungstechniken. Dazu gehören dateilose Ausführung (Fileless Execution) und das Tarnen von Prozessen unter legitimen Namen wie „systemd-journald“. Die Kommunikation mit dem Command-and-Control-Server (C2) läuft verschlüsselt per XOR-Obfuskation.
Watchdog als ungewöhnlicher Schutzmechanismus
Die technische Besonderheit von Tengu liegt in der Interaktion mit dem Hardware-Watchdog. Diese Komponente startet ein System eigentlich automatisch neu, wenn es sich aufgehängt hat. Tengu macht daraus einen Schutzschild: Versuchen Admins oder Sicherheitstools, den Hauptprozess der Malware zu beenden, löst ein Begleitprozess (Guardian Process) über den Watchdog einen Reboot aus. Der Neustart löscht flüchtige Daten im Arbeitsspeicher – und erschwert so eine forensische Analyse der Infektion erheblich.
Angesichts immer komplexerer Bedrohungen wie dem Tengu-Botnetz wird die proaktive Absicherung der Unternehmens-IT zur Existenzfrage. Dieses kostenlose E-Book enthüllt, wie Sie Sicherheitslücken schließen und gleichzeitig neue gesetzliche Anforderungen erfüllen. IT-Sicherheit stärken ohne teure Investitionen
Das Botnetz ist technisch breit aufgestellt und unterstützt mehrere CPU-Architekturen. Insgesamt 25 verschiedene Methoden für DDoS-Angriffe (Distributed Denial of Service) stellt Tengu bereit. Die dauerhafte Verankerung auf dem System sichern zusätzliche Einträge in cron-Jobs und systemd-Diensten.
Wachsender Druck durch IoT-Botnetze
Die Entdeckung von Tengu fällt in eine Zeit, in der IoT-Botnetze zunehmend komplexe Strategien entwickeln. Branchenanalysten beobachten eine Evolution weg von einfachen Skripten hin zu hochspezialisierten Funktionen. Erst in den letzten Tagen wurde das Dysphoria-Botnetz identifiziert, das für seine C2-Infrastruktur auf Blockchain-Dienste wie Ethereum (ENS) und Solana (SNS) setzt – angeblich bereits 200.000 Geräte infiziert.
Immer mehr Unternehmen werden Opfer von gezielten Cyberangriffen durch hochspezialisierte Botnetze. Erfahrene Experten erklären in diesem kostenlosen E-Book, wie Sie sich proaktiv absichern, bevor es für Ihre Systeme zu spät ist. Kostenlose Checkliste zur Hacker-Abwehr herunterladen
Parallel dazu warnt die Sicherheitsbranche vor der Botnetz-Variante Kimwolf. Diese hat seit Sommer 2025 Schätzungen zufolge über zwei Millionen Android-basierte Mediaplayer und Smart-TVs kompromittiert. Die Entwicklungen zeigen: Angreifer setzen verstärkt auf Persistenz und erschweren forensische Untersuchungen – mit immer ausgefeilteren Methoden.
Disclaimer zu unseren Artikeln: Keine Anlageberatung, keine Kauf- oder Verkaufsempfehlung. Angaben zu Kursen, Unternehmen und Märkten ohne Gewähr; Änderungen jederzeit möglich. Börsengeschäfte können zu hohen Verlusten führen. Unsere Beiträge werden ganz oder teilweise automatisiert mit Unterstützung von AI erstellt und geprüft.
