Ce botnet récalcitrant redémarre votre appareil dès que vous essayez de le tuer

Tengu, un nouveau botnet dérivé de Mirai, fait des ravages sur les appareils Linux. Repéré cette année grâce à un système d’intelligence artificielle, ce malware se distingue par sa capacité à forcer le redémarrage des machines piratées. Cette tactique permet d’échapper à la suppression.

Des chercheurs de Nozomi Networks ont découvert l’existence d’un nouveau botnet. Baptisé Tengu, ce botnet appartient à la grande famille de Mirai. Apparu il y a plus d’une décennie, Mirai est un logiciel malveillant qui a transformé des milliers d’objets connectés en armée de machines zombies pendant plusieurs années. De nos jours, une grande partie des botnets découle directement du code de Mirai. C’est le cas de KimWolf, qui a piraté deux millions d’appareils cette année, et d’Aisuru, le botnet à l’origine d’une cyberattaque d’une puissance record.

Our Labs team analyzed Tengu, a Mirai-derived IoT malware family that combines a custom encrypted command-and-control protocol, proxy functionality, payload updates, system and network discovery, and denial-of-service capabilities.

Read the new Labs blog: https://t.co/nph1AK1W98 pic.twitter.com/USc6VcQ2U1

— Nozomi Networks (@nozominetworks) July 29, 2026

Du neuf avec du vieux

Selon les chercheurs, Tengu se distingue nettement de ses prédécesseurs. Le virus a d’ailleurs été repéré grâce à un système d’apprentissage automatique par IA, conçu par Nozomi Networks, pour identifier des familles de malwares jusqu’alors inconnues. En dépit de sa filiation avec Mirai, Tengu apparaît comme une toute nouvelle menace qui plane sur Internet.

Le mode opératoire du botnet n’a rien d’original. En effet, Tengu s’attaque aux appareils sous Linux, qui ont été exposés par mégarde sur Internet. Concrètement, le virus force les mots de passe faibles ou par défaut, qui n’ont pas été changés par les utilisateurs. En l’occurrence, on parle d’attaques par force brute, qui consistent à utiliser des algorithmes dédiés pour deviner un mot de passe.

Ces algorithmes vont essayer automatiquement des milliers, voire des millions de combinaisons de mots de passe jusqu’à trouver le bon code. Cette tactique, aussi éculée qu’efficace, fait des ravages… surtout lorsque les cibles ont opté pour des mots de passe faibles ou recyclés à diverses reprises. Le virus va ensuite s’installer sur la machine à l’aide d’un simple script. Celui-ci va ensuite télécharger une version du malware adaptée à l’architecture du processeur de l’appareil.

À lire aussi : Un hacker russe se sert de Gemini pour piloter son botnet à sa place

Comment le botnet peut-il redémarrer l’appareil infecté ?

Le botnet se distingue surtout par une fonction de défense bien particulière. Lorsqu’il se sent menacé, le virus va forcer l’appareil à redémarrer. Dès qu’il détecte qu’un administrateur ou un chercheur tente d’arrêter ou de modifier son processus, Tengu peut déclencher un redémarrage complet de l’appareil infecté. Pour lancer un redémarrage, le malware désactive d’abord des fonctions de sécurité et contourne le mécanisme censé redémarrer automatiquement un système en cas de blocage.

Concrètement, le malware fait tourner un processus caché qui prend l’apparence d’une tâche système ordinaire. Tant que Tengu fonctionne normalement, ce processus envoie régulièrement un signal indiquant que tout va bien. Si un administrateur parvient à stopper le malware, ce signal s’interrompt aussitôt et ‘appareil va redémarrer automatiquement. Ce processus empêche l’administrateur de déloger le malware. Surtout, il laisse au malware une nouvelle chance de se réinstaller.

« La plupart des variantes de Mirai n’implémentent que peu, voire aucune, de ces capacités d’autodéfense, ce qui explique pourquoi cette partie de Tengu a immédiatement attiré notre attention », explique Nozomi Networks.

En conséquence, un simple redémarrage de l’appareil ne suffit pas pour se débarrasser de Tengu. Pire, le redémarrage peut donner aux administrateurs une fausse impression de nettoyage réussi, alors que Tengu est bel et bien toujours présent sur la machine. Au-delà du redémarrage forcé, Tengu est en mesure d’éliminer les malwares concurrents déjà présents sur l’appareil infecté. Étant donné que « de nombreux acteurs indépendants se disputent l’accès aux mêmes appareils IoT mal sécurisés, Tengu tente d’éliminer les malwares rivaux pour obtenir et conserver le contrôle de la machine ».

Un arsenal redoutable

La plupart des botnets basés sur Mirai sont surtout utilisés pour lancer des attaques DDoS de grande envergure. Tengu va bien plus loin que la simple attaque par déni de service. Le virus embarque 25 méthodes d’attaque distinctes, notamment contre des protocoles spécifiques, tels que HTTP ou DNS, ou contre des serveurs de jeux vidéo. Le malware dispose également d’une fonction proxy, qui lui permet de faire transiter du trafic à travers l’appareil compromis pour brouiller les pistes.

Enfin, Tengu aspire une montagne de données au cours de ses activités. Il peut collecter des informations sur les interfaces, les adresses IP, la passerelle par défaut ou encore la version du noyau, avant de les exfiltrer vers le serveur des pirates. Le malware peut aussi se mettre à jour de lui-même et télécharger des charges malveillantes supplémentaires, y compris des applications Android. Cette fonction laisse penser que Tengu vise également des boîtiers TV Android mal sécurisés. Pour se protéger contre Tengu, les chercheurs de Nozomi Networks recommandent surtout de changer les mots de passe par défaut et de mettre à jour régulièrement le micrologiciel de vos appareils.