プロセス強制終了でデバイスを強制再起動、新型Linuxボットネット「Tengu」の巧妙な自己防衛手法が判明

要点

• 著名なIoTボットネット「Mirai」から派生した新しいボットネット「Tengu」の存在が明らかになった。

• Tenguは侵害したLinuxデバイスの「ハードウェアウォッチドッグ」を悪用し、プロセスが強制終了されるとデバイス自体を再起動させる。

• デバイス再起動後は、システム起動時に自動実行される複数の永続化処理によってボットネットが自動的に復活する。

• 25種類のDDoS攻撃やSOCKS5プロキシ、シェルの実行に加え、Android TVなどを標的にしたとみられるAPKファイルの取得・実行機能を備える。

• 本マルウェアの感染経路や制御インフラ情報が公表されたものの、具体的な感染件数や背後の運営グループなどは未特定である。

• セキュリティ企業のNozomi Networks Labsは2026年7月27日、Linuxデバイスを標的とする新型ボットネットマルウェア「Tengu（テング）」の分析結果を公表した。Tenguは侵害したデバイスの監視機能を悪用し、自身のプロセスが強制終了されるとデバイスごと強制再起動させる独自の防衛システムを備えている。再起動されたデバイスは、あらかじめ仕込まれた起動時処理によって自動的にTenguへ再感染するため、通常のプロセス強制終了による対策を困難にさせている。

監視用ハードウェア「ウォッチドッグ」の悪用

Tenguは、IoT（インターネットに接続された各種機器）デバイスを狙うボットネット（遠隔操作される多数の感染デバイスで構成されるネットワーク）である「Mirai」の派生種だが、強力な自己防衛・永続化コードを備える点で際立っている。

最大の特徴が、異常時にデバイスを自動再起動させる監視用ハードウェア「ハードウェアウォッチドッグ」の悪用だ。Tenguが起動すると、ワーカープロセスがOSの中核を担うカーネルの正常処理を装う「[kworker/0:0]」という名称で潜入する。このプロセスはウォッチドッグのタイムアウトを約30秒に設定し、メインプロセスが生存している間だけ生存信号を送り続ける。メインプロセスが強制終了（kill）されると生存信号が途絶え、ウォッチドッグによって約30秒後にデバイスが強制再起動される。

自動復活を支える永続化工作とコマンド妨害

強制再起動されたデバイス上でTenguを自動的に復活させるため、攻撃者はシステム各所に自動起動の設定（永続化機能）を仕込んでいる。

Tenguは、メインプロセスを監視する独立した「ガーディアン」プロセスを分岐させ、60秒ごとに稼働状況をチェックして自動再起動する。さらに、サービス管理プログラム「systemd」の偽サービス作成、初期化スクリプトの追加、シェル起動ファイルの改ざんを行い、実行ファイルを書き換え不能な属性に変更する。また、Tenguはデバイス内の標準的な再起動やシャットダウンコマンドを破壊し、管理者がコマンドを使ってシステムを安全に停止したり再起動したりする操作そのものを妨害する。

多彩な攻撃機能とAndroidへのアプローチ

Tenguは強固な自己防衛能力に加え、25種類の分散型サービス拒否（DDoS）攻撃手法、中継用の「SOCKS5プロキシ」、任意のシェルコマンド実行、デバイスのシステム情報収集などの多彩な機能を備える。

さらに自身のアップデートや追加ファイルの実行も可能だ。Nozomi Networks Labsは、PC用から通信機器用まで多様なCPUアーキテクチャに対応したサンプルの存在を確認した。Android端末用の「APKファイル」を取得・インストールする機能も備えており、セキュリティの脆弱なAndroid TVボックスなどが標的になっていると推測されるが、実際の被害は報告されていない。

C2通信の構造とインフラの現状

Tenguは「64.89.163.8」のポート9931のC2（司令塔）サーバーと通信を行う。登録や生存確認は平文（暗号化されていないデータ形式）で行われるが、制御コマンドの送受信には独自の暗号化が用いられる。また、同サーバーの分散型ファイルシステム「IPFS」経由で追加ファイルを取得する仕組みもある。

今回の検体がハニーポット（ダミー標的システム）へ侵入した際は、管理用プロトコル「Telnet」への総当たり攻撃（ブルートフォース）が用いられた。セキュリティデータベース「URLhaus」の記録では、このC2サーバーから過去に不正URLが配信されていたが、現在はすべてオフラインとなっている。なお、C2サーバーが実際に通信可能な状態であったか、またはサーバーから命令が実際に下されたかなどは明らかになっていない。

管理者がとるべき防御策

Nozomi Networks Labsは、不要な管理サービスをインターネットに露出させないことや、初期設定の認証情報を変更することを推奨している。また、ファームウェアの定期アップデートや、IoTネットワークのセグメンテーション（隔離・分割）も重要だ。

感染が疑われる場合は、単にプロセスを終了させて再起動するだけでは不十分である。systemdサービスや初期化スクリプト、シェルの自動起動設定などシステム各所からTenguの痕跡を完全に確認・削除した上でデバイスを復旧させる必要がある。