Laut Nozomi Networks Labs fällt Tengu unter den beobachteten Mirai-Ablegern vor allem durch seine Persistenz- und Selbstverteidigungsfunktionen auf. Die Forscher schreiben, die meisten Mirai-Varianten verfügten nur über wenige oder gar keine dieser Fähigkeiten. Veröffentlicht wurde die Analyse am 27. Juli 2026.
Sobald Tengu läuft, startet der Bot einen abgekoppelten Wächterprozess, der den eigentlichen Schadprozess alle 60 Sekunden überprüft. Wird dieser beendet, startet der Wächter die installierte Binärdatei erneut. Darüber hinaus kann Tengu einen gefälschten systemd-Dienst anlegen, Init- und RC-Skripte hinzufügen, Shell-Startdateien verändern und die installierte Binärdatei als unveränderlich markieren. Eine auf Cron basierende Persistenzroutine ist ebenfalls vorhanden, laut Nozomi wirkt deren Verweis auf /proc/self/exe jedoch unfertig oder fehlerhaft.
Hinzu kommt ein zweiter Mechanismus, der den Hardware-Watchdog des Geräts missbraucht. Ein Hintergrundprozess tarnt sich als [kworker/0:0], öffnet das Watchdog-Gerät erneut, falls es verfügbar ist, setzt einen Zeitgeber von ungefähr 30 Sekunden und sendet Lebenszeichen nur solange der Hauptprozess der Malware aktiv ist. Wird dieser Prozess beendet, erhält der Watchdog keine Signale mehr und das Gerät kann neu starten. Danach versuchen die übrigen Persistenzmechanismen von Tengu erneut, die Malware zu starten.
Zusätzlich enthält Tengu eine fest einkodierte Liste von Werkzeugen zum Neustarten und Herunterfahren. Deren ELF-Header überschreibt die Malware mit der Zeichenfolge ELFOOD. Das kann reguläre Befehle stören, die Verteidiger zum Neustart oder zum sicheren Ausschalten eines kompromittierten Geräts verwenden würden.
Der von Nozomi analysierte Sample war so konfiguriert, dass er mit einem Command-and-Control-Server unter 64[.]89.163.8 über TCP-Port 9931 kommuniziert. Registrierung, Heartbeat-Verkehr und Befehlsausgaben werden im Klartext übertragen, während Serverbefehle und Updates ein benutzerdefiniertes authentifiziertes Verschlüsselungsverfahren verwenden, das ChaCha20/Poly1305 ähnelt. Tengu kann außerdem von einem IPFS-Gateway auf demselben Server eine vom C2 gelieferte Inhaltskennung abrufen, das Ergebnis als ELF oder APK prüfen und anschließend ausführen oder installieren.
Nozomi listet architekturspezifische Samples für i386, amd64, MIPS, ARM, PowerPC und m68k auf. Nach Einschätzung der Forscher dürfte der APK-Pfad auf schlecht abgesicherte Android-TV-Boxen oder ähnliche Geräte zielen; bestätigte Android-Opfer dokumentiert der Bericht allerdings nicht.
Unabhängig davon verzeichnete URLhaus ab dem 17. Juni 2026 insgesamt 17 Malware-URLs auf 64[.]89.163.8. Darunter waren ein Shell-Skript, mehrere als Mirai markierte ELF-Dateien und ein APK. Die jüngsten Nutzlast-Einträge wurden laut URLhaus erstmals am 7. Juli gesehen; am 28. Juli waren alle 17 URLs offline. URLhaus ordnet die Dateien jedoch nicht Tengu zu. Zudem stimmte am 28. Juli keiner der auf dem Host-Eintrag gelisteten SHA-256-Hashes mit dem von Nozomi veröffentlichten Sample-Hash überein. Die Telemetrie belegt damit laut Bericht nur bösartiges, mit Mirai zusammenhängendes Hosting unter dieser Adresse.
Weder Nozomi noch URLhaus klären, ob der C2-Dienst auf Port 9931 oder das IPFS-Gateway auf Port 8080 erreichbar waren. URLhaus bezieht seinen Status ausschließlich auf die gelisteten Download-URLs. Nozomi macht zudem keine Angaben dazu, ob der konfigurierte C2-Server unter 64[.]89.163.8:9931 tatsächlich Befehle ausgeliefert hat.