Dossier unit42-tuxbot-v3-llm-botnetMalware assisté par IAMondial
TuxBot v3 : un botnet IoT lié à Keksec construit avec un LLM conserve ses avertissements de sécurité
Unit 42 a récupéré le framework TuxBot v3 Evolution, dont les 61 fichiers C contiennent un avertissement de sécurité de LLM non supprimé et des commentaires de chaîne de raisonnement ; environ 70 % fonctionne, dont la force brute Telnet et le DDoS.
MoyenneAttaque avec l’IAStatut: En coursDossier vérifié
Ouvrir dans la carte interactiveCiter ce dossier
- Signalé le
- 16 juil. 2026
- Lieu
- Mondial
- Cible
- Appareils IoT Linux sur 17 architectures
- Gravité
- Moyenne
- Déclenché par
- Opérateur de l'écosystème Keksec
- Type d’acteur
- Criminel
- Perte déclarée
- Aucune déclarée
- CVE
- Aucun
Ce qui s’est passé
Unit 42 a récupéré le framework TuxBot v3 Evolution, dont les 61 fichiers C contiennent un avertissement de sécurité de LLM non supprimé et des commentaires de chaîne de raisonnement ; environ 70 % fonctionne, dont la force brute Telnet et le DDoS.
Impact: Capacité DDoS opérationnelle ; nombre d'infections non rapporté. Plusieurs fonctions revendiquées, comme le hachage Argon2id et la VM d'exploits, étaient non fonctionnelles.
Qui l’a déclenché
Acteur: Opérateur de l'écosystème Keksec
Attribution: Unit 42 relie l'opérateur à Keksec via l'infrastructure partagée de Kaitori v3.9 et du dropper AISURU ; un journal Git a laissé fuiter un nom d'hôte hébergé en Iran.
Mobile: DDoS à la demande
Comment c’est arrivé
Vecteur d’attaque: Scanners Telnet, SSH, HTTP et ADB, exploits pour plus de 30 familles d'IoT, C2 en Go avec panneau DDoS
Cause racine: Le code généré par LLM a permis à un développeur peu qualifié d'assembler un vaste framework, bugs et avertissements compris
Chronologie
- Infrastructure C2 active depuis au moins ce mois
- Unit 42 observe six nouveaux échantillons dans sa télémétrie
- Unit 42 publie son analyse
Réponse
Unit 42 a publié des IOC et indiqué avoir corrigé plusieurs bugs en quelques prompts, avertissant que des versions plus abouties existent probablement.
Statut actuel: En cours
Sources (nouvel onglet)
- Unit 42 unit42.paloaltonetworks.com
- Security Affairs securityaffairs.com
- The Hacker News thehackernews.com
Citer ce dossier
TuxBot v3 : un botnet IoT lié à Keksec construit avec un LLM conserve ses avertissements de sécurité. AI Threat Watch, dossier unit42-tuxbot-v3-llm-botnet, 16 juil. 2026. https://aithreat.io/fr/cases/unit42-tuxbot-v3-llm-botnet/
Lien permanent: https://aithreat.io/fr/cases/unit42-tuxbot-v3-llm-botnet/