Thought Leadership
Sicherheitsforscher haben das IoT-Botnetz-Framework TuxBot v3 Evolution entdeckt. Es wurde nachweislich unter Einsatz von künstlicher Intelligenz entwickelt.
Die Sicherheitsanalysten von Palo Alto Networks Unit 42 haben Details zu einem bislang unbekannten Internet-of-Things-Botnetz namens TuxBot v3 Evolution veröffentlicht. Die Untersuchungen zeigen deutliche Spuren dafür, dass die Entwickler bei der Programmierung der Schadsoftware auf die Unterstützung eines großen Sprachmodells zurückgegriffen haben. Allerdings wies die automatische Code-Generierung erhebliche Mängel auf, da der Programmierer den injizierten Code nicht manuell überprüfte. Die Analysten stellten fest:
„Während die KI der Aufforderung zur Generierung des Botnetz-Codes nachkam, enthielt sie einen Sicherheits-Haftungsausschluss, den der Entwickler vor der Auslieferung nicht entfernt hatte“. Zudem blieben die internen Gedankengänge der künstlichen Intelligenz in Form von Kommentaren im Quelltext enthalten. Das Framework ist zu etwa 70 Prozent funktionsfähig. Obwohl das LLM beim Aufbau des Botnetzes half, funktionierten mehrere Funktionen in den analysierten Proben nicht korrekt.“
Palo Alto Networks
Technische Architektur und unterstützte Systemplattformen
TuxBot v3 Evolution stellt eine modulare Infrastruktur dar, deren Kernkomponenten aus einem in C geschriebenen Bot-Agenten und einem in Go geschriebenen Kontrollserver bestehen. Der Bot-Agent ist so konzipiert, dass er über Cross-Kompilierung für verschiedene Prozessorarchitekturen wie ARM, MIPS, x86_64, PowerPC und RISC-V bereitgestellt werden kann.
Das primäre Ziel der Schadsoftware ist die Durchführung von Brute-Force-Angriffen auf den Telnet-Zugang von IoT-Geräten unter Verwendung einer Liste von 1496 vordefinierten Zugangsdaten. Darüber hinaus enthält der Code Exploit-Funktionen für mehr als 30 verschiedene IoT-Gerätefamilien. Zur Absicherung der Infrastruktur verfügt das Framework über ein privates Build-System sowie eine auf Docker-Containern basierende Testumgebung. Erste Spuren der Entwicklung reichen zurück bis in das Jahr 2025, während eine erste Version im Januar 2026 auf der Analyseplattform VirusTotal hochgeladen wurde.
Strukturierte Kommunikationswege und Persistenzmechanismen
Der integrierte Kontrollserver nutzt drei verschiedene Netzwerkports für eingehende Verbindungen. Über den TCP-Port 1999 beziehungsweise 31337 erfolgt die verschlüsselte Befehlsausgabe an die infizierten Systeme. Der Port 2222 stellt eine interaktive SSH-Shell für die Administratoren bereit, während der Port 9999 eine JSON-Schnittstelle für den programmatischen Zugriff bietet. Für die Kommunikation mit den infizierten Geräten wird ein verschlüsselter TCP-Kanal genutzt. Sollte dieser blockiert werden, verfügt das System über diverse Ausweichmechanismen.
Dazu gehören ein Domain-Generation-Algorithmus auf Basis von SHA512, ein Peer-to-Peer-Gossip-Protokoll mit digital signierten Befehlen sowie Abfragen über IRC, DNS-TXT-Einträge und HTTP-Polling. Die dauerhafte Verankerung auf den kompromittierten Systemen wird über einen eigenen Systemd-Dienst, Cron-Einträge sowie einen Überwachungsprozess realisiert. Die Forscher ordnen den Betreiber dem Keksec-Ökosystem zu.
(red)
