TuxBot v3 Evolution 显示出 LLM 辅助开发 IoT 僵尸网络的迹象

网络安全研究人员披露了一个此前未报告的 IoT 僵尸网络框架的详细信息，该框架名为 TuxBot v3 Evolution，显示出在大型语言模型辅助下开发的迹象，尽管结果并不十分成功。
"虽然 AI 顺从了生成僵尸网络代码的请求，但它包含了一个安全免责声明，而开发者在发布前未能将其移除，"Palo Alto Networks Unit 42 表示。"尽管 LLM 明显辅助了僵尸网络的构建，但分析样本中的多个功能未能正常工作。"
该网络安全公司表示，人工代码审查本可以解决这些错误，并且可能存在更完善的恶意软件版本已在野外传播。
该僵尸网络框架包含多个组件：一个基于 C 的僵尸代理，可交叉编译到多种架构（如 ARM、MIPS、MIPSEL、MIPS64、x86_64、PowerPC 和 RISC-V）；一个基于 Go 的命令与控制服务器，带有 DDoS 即服务面板；一个自定义漏洞利用虚拟机；基于 Docker 的测试基础设施；以及一个自动化构建系统。
僵尸代理设计用于使用 1,496 组凭据对目标设备进行 Telnet 暴力破解，并整合了针对 30 多个 IoT 设备家族的已知漏洞利用代码。它通过加密 TCP 通道与 C2 服务器通信，同时使用 SHA512 域名生成算法、采用 Ed25519 签名命令的对等网络 gossip 协议、IRC、DNS TXT 查询和 HTTP 轮询作为备用机制。
该模块化框架的血统可追溯到三个不同的僵尸网络：Mirai、AISURU 和 Wuhan，此外还部分移植了开源 MHDDoS Python DDoS 工具包中的一些功能。至少有一个恶意软件样本于 2026 年 1 月 20 日上传到 VirusTotal 平台，表明它已存在超过六个月。证据表明，僵尸网络的开发工作在此前一年就已开始，当时作者从 GitHub 克隆了 MHDDoS 仓库。
"根据框架描述，TuxBot 开发者构建了他们所谓的专业级 C2 框架平台，具有多用户管理面板、自动化部署和模块化攻击能力，"研究人员 Chris Navarrete、Asher Davila 和 Doel Santos 表示。
基于 Go 的 C2 服务器组件使用三个不同的 TCP 端口进行入站连接：

• TCP 端口 1999（或 31337）：用于向连接的僵尸节点分发加密命令
• TCP 端口 2222：通过 SSH 为操作员提供交互式 shell
• TCP 端口 9999：使用 JSON 接口进行程序化访问
  一旦启动，僵尸网络会遵循预定义的初始化序列执行一系列操作：
• 从多层架构加载 C2 地址，包含一个主通道和五个备用机制
• 设置反调试和反虚拟机保护，检查正在运行的分析工具
• 隐藏其进程名称
• 安装持久化机制
• 启动各种子模块以发起 DDoS 攻击、终止竞争进程、通过 IRC、HTTP、DNS 和 P2P 建立 C2 通道、运行 Telnet、SSH、HTTP 和 Android Debug Bridge 扫描器、启动 SOCKS5 代理，以及执行加密货币挖矿占位程序

特别是专用的 HTTP 扫描器，可在任意时刻管理多达 128 个并发连接，其目标是发现易受攻击的 Web 接口。持久化则通过 systemd 服务、cron 条目和看门狗保活进程来实现，以确保 TuxBot 在被攻陷的机器上保持运行。
"多个文件包含逐字保留在注释中的原始 LLM 思维链推理过程，"Unit 42 表示。"这些注释是 LLM 在处理移植任务时的内部推理过程。该推理过程包含自我中断、决策以及对'用户'（即提示 LLM 的开发者）的引用。"
尽管 TuxBot v3 Evolution 是一个仍在开发中的僵尸网络，但其核心工作功能加上对 AI 的依赖，标志着功能集成的加速，同时使得一个看似单枪匹马的开发者能够构建出一个多管齐下的工具集，包含多个 C2 通道、一个自定义漏洞利用虚拟机和一个基于 Go 的 DDoS 即服务面板。
"与 Kaitori v3.9 和 AISURU 工具共享的基础设施将 TuxBot 操作者置于 Keksec 生态系统内，"Unit 42 总结道。"该组织以同时运行多个 IoT 僵尸网络变种而闻名。TuxBot 似乎是该组合中的另一个变种。它旨在超越通常的 Mirai 分支，具备加密 C2、DGA 和模块化漏洞利用系统，尽管在我们恢复的版本中该系统尚无法正常工作。"
此次披露之前，另外两个名为 RustDuck 和 AryStinger 的僵尸网络已经出现，它们以路由器、IP 摄像头、Android 盒子以及安全性较差的服务器为目标，将其纳入一个旨在使在线服务脱机并进行侦察的网络。