Sicherheitsforscher haben die Schadsoftware Tengu analysiert, eine beachtliche Weiterentwicklung der berüchtigten Mirai-Malware. Tengu zielt primär auf Linux-basierte IoT-Geräte und Netzwerk-Geräte ab und kombiniert Merkmale von Mirai mit zusätzlichen Tarn- und Persistenzmechanismen, die es deutlich schwerer nachzuverfolgbar machen als das Original.
Mirai selbst war ein Wendepunkt in der Malware-Geschichte: 2016 infizierte Mirai hunderttausende IoT-Geräte weltweit und verursachte massive DDoS-Angriffe (Distributed-Denial-of-Service). Das Besondere an Mirai war die Ausnutzung schwacher Standard-Passwörter in IoT-Geräten. Viele Hersteller lieferten ihre Geräte mit default-Credentials aus, die kaum einer änderte. Mirai automatisierte das Finden und Infizieren solcher Geräte.
Tengu ist eine intelligentere Evolution. Die neuen Tarnungs-Funktionen bedeuten, dass Tengu schwerer zu erkennen ist, selbst wenn Sicherheitssysteme aktiv danach suchen. Es kann sich besser verstecken, seine Netzwerk-Aktivitäten maskieren und legitimen Traffic imitieren. Die Persistenz-Mechanismen sorgen dafür, dass einmal infizierte Geräte schwerer zu bereinigen sind. Tengu könnte nach einem Neustart automatisch erneut aktiviert werden oder sich in Boot-Sektoren verstecken.
Dies stellt eine deutlich grössere Bedrohung dar als das Orginal-Mirai. Ein infiziertes Netz kann schwer wieder sauber werden, ohne spezialwissen und möglicherweise Neuinstallationen.
Für Organisationen, die IoT-Geräte einsetzen, ist dies eine ernsthafte Warnung. IoT ist oft eine Schwachstelle in Netzwerk-Sicherheit, weil diese Geräte weniger Aufmerksamkeit erhalten als Server und Desktops. Unternehmen sollten dringend: Standardpasswörter auf allen IoT-Geräten ändern, Firmware regelmässig aktualisieren, IoT-Geräte in separaten Netzwerk-Segmenten isolieren und deren Verkehr überwachen. Besonders KMU unterschätzen oft das IoT-Sicherheitsrisiko. Eine infizierte IoT-Botnet-Beteiligung könnte das Firmennetzwerk massiv schädigen.