Ce botnet récalcitrant redémarre votre appareil dès que vous essayez de le tuer

Tengu, un nouveau botnet dérivé de Mirai, fait des ravages sur les appareils Linux. Repéré cette année grâce à un système d’intelligence artificielle, ce malware se distingue par sa capacité à forcer le redémarrage des machines piratées. Cette tactique permet d’échapper à la suppression.

Des chercheurs de Nozomi Networks ont découvert l’existence d’un nouveau botnet . Baptisé Tengu, ce botnet appartient à la grande famille de Mirai . Apparu il y a plus d’une décennie, Mirai est un logiciel malveillant qui a transformé des milliers d’objets connectés en armée de machines zombies pendant plusieurs années. De nos jours, une grande partie des botnets découle directement du code de Mirai. C’est le cas de KimWolf, qui a piraté deux millions d’appareils cette année , et d’ Aisuru, le botnet à l’origine d’une cyberattaque d’une puissance record .

Our Labs team analyzed Tengu, a Mirai-derived IoT malware family that combines a custom encrypted command-and-control protocol, proxy functionality, payload updates, system and network discovery, and denial-of-service capabilities.

Read the new Labs blog: https://t.co/nph1AK1W98 pic.twitter.com/USc6VcQ2U1

Selon les chercheurs, Tengu se distingue nettement de ses prédécesseurs. Le virus a d’ailleurs été repéré grâce à un système d’apprentissage automatique par IA, conçu par Nozomi Networks, pour identifier des familles de malwares jusqu’alors inconnues . En dépit de sa filiation avec Mirai, Tengu apparaît comme une toute nouvelle menace qui plane sur Internet.

Le mode opératoire du botnet n’a rien d’original. En effet, Tengu s’attaque aux appareils sous Linux , qui ont été exposés par mégarde sur Internet. Concrètement, le virus force les mots de passe faibles ou par défaut, qui n’ont pas été changés par les utilisateurs. En l’occurrence, on parle d’attaques par force brute, qui consistent à utiliser des algorithmes dédiés pour deviner un mot de passe.

Ces algorithmes vont essayer automatiquement des milliers, voire des millions de combinaisons de mots de passe jusqu’à trouver le bon code. Cette tactique, aussi éculée qu’efficace, fait des ravages… surtout lorsque les cibles ont opté pour des mots de passe faibles ou recyclés à diverses reprises. Le virus va ensuite s’installer sur la machine à l’aide d’un simple script. Celui-ci va ensuite télécharger une version du malware adaptée à l’architecture du processeur de l’appareil.

À lire aussi : Un hacker russe se sert de Gemini pour piloter son botnet à sa place

Le botnet se distingue surtout par une fonction de défense bien particulière. Lorsqu’il se sent menacé, le virus va forcer l’appareil à redémarrer . Dès qu’il détecte qu’un administrateur ou un chercheur tente d’arrêter ou de modifier son processus, Tengu peut déclencher un redémarrage complet de l’appareil infecté. Pour lancer un redémarrage, le malware désactive d’abord des fonctions de sécurité et contourne le mécanisme censé redémarrer automatiquement un système en cas de blocage.

Concrètement, le malware fait tourner un processus caché qui prend l’apparence d’une tâche système ordinaire.