Досье unit42-tuxbot-v3-llm-botnetВредоносное ПО с участием ИИВесь мир
TuxBot v3: связанный с Keksec IoT-ботнет, созданный с помощью LLM, сохранил дисклеймеры о безопасности
Unit 42 получила фреймворк TuxBot v3 Evolution, 61 C-файл которого содержат неудалённый дисклеймер LLM о безопасности и комментарии с цепочкой рассуждений; около 70 процентов функциональности работает, включая брутфорс Telnet и DDoS.
СредняяАтака с помощью ИИСтатус: ПродолжаетсяПроверенное досье
Открыть на интерактивной картеЦитировать это досье
- Дата сообщения
- 16 июл. 2026
- Локация
- Весь мир
- Цель
- Linux-устройства IoT на 17 архитектурах
- Критичность
- Средняя
- Инициатор
- Оператор из экосистемы Keksec
- Тип субъекта
- Криминальный
- Сектор
- Несколько отраслей
- Заявленные убытки
- Не заявлены
- CVE
- Нет
Что произошло
Unit 42 получила фреймворк TuxBot v3 Evolution, 61 C-файл которого содержат неудалённый дисклеймер LLM о безопасности и комментарии с цепочкой рассуждений; около 70 процентов функциональности работает, включая брутфорс Telnet и DDoS.
Последствия: Работоспособный DDoS-потенциал; число заражений не сообщается. Несколько заявленных функций, таких как хеширование Argon2id и виртуальная машина для эксплойтов, не работали.
Кто стоит за инцидентом
Субъект: Оператор из экосистемы Keksec
Атрибуция: Unit 42 связывает оператора с Keksec через общую инфраструктуру Kaitori v3.9 и дроппера AISURU; в Git-логе утекло имя хоста, размещённого в Иране.
Мотив: DDoS по найму
Как это произошло
Вектор атаки: Сканеры Telnet, SSH, HTTP и ADB, эксплойты для более чем 30 семейств IoT, C2 на Go с DDoS-панелью
Первопричина: Сгенерированный LLM код позволил низкоквалифицированному разработчику собрать крупный фреймворк — вместе с ошибками и дисклеймерами
Хронология
- C2-инфраструктура активна как минимум с этого месяца
- Unit 42 фиксирует шесть новых образцов в телеметрии
- Unit 42 публикует анализ
Реагирование
Unit 42 опубликовала IOC и отметила, что исправила несколько ошибок с помощью пары промптов, предупредив, что более отточенные версии, вероятно, существуют.
Текущий статус: Продолжается
Источники (открываются в новой вкладке)
- Unit 42 unit42.paloaltonetworks.com
- Security Affairs securityaffairs.com
- The Hacker News thehackernews.com
Цитировать это досье
TuxBot v3: связанный с Keksec IoT-ботнет, созданный с помощью LLM, сохранил дисклеймеры о безопасности. AI Threat Watch, досье unit42-tuxbot-v3-llm-botnet, 16 июл. 2026. https://aithreat.io/ru/cases/unit42-tuxbot-v3-llm-botnet/
Постоянная ссылка: https://aithreat.io/ru/cases/unit42-tuxbot-v3-llm-botnet/