Nozomi Networks LabsはMirai由来の新しいボットネット「Tengu」を分析した。このボットネットはLinuxデバイスでハードウェアウォッチドッグを利用し、自らを再起動する能力を持つ。ボットネットは25種類のDDoS手法をサポートし、SOCKS5プロキシを実行でき、シェルコマンドを実行し、システムとネットワークデータを収集できる。

Tenguはi386、amd64、MIPS、ARM、PowerPC、m68kアーキテクチャ用の専用サンプルを含む。ボットネットは自己保護のために複数のメカニズムを使用する。これには、メインマルウェアプロセスを60秒ごとにチェックする保護プロセス、偽のsystemdサービスの作成、initとRCスクリプトの追加、シェル起動ファイルの変更、イミュータビリティ機能で自らを変更不可としてマークする機能などがある。

Nozomi Networks Labsは、Tenguが永続性と自己保護コードで他のMirai派生型と異なるとしている。ボットネットはハードウェアウォッチドッグを利用して自らを再起動し、デバイスを再起動できる。さらに、ボットネットは再起動とシャットダウンユーティリティのELFヘッダーをELFOOD文字列で置換し、セキュリティ専門家がデバイスを再起動または安全にシャットダウンするのを阻止できる。