案例 unit42-tuxbot-v3-llm-botnetAI 辅助恶意软件全球
TuxBot v3：Keksec相关物联网僵尸网络借LLM构建，仍保留安全免责声明
Unit 42获取了TuxBot v3 Evolution框架，其61个C文件中保留着未删除的LLM安全免责声明和思维链注释；约70%可正常工作，包括Telnet暴力破解和DDoS。
中利用 AI 的攻击状态: 进行中已核实案例档案
- 报道日期
- 2026年7月16日
- 地点
- 全球
- 目标
- 17种架构的Linux物联网设备
- 严重程度
- 中
- 发起者
- Keksec生态运营者
- 行为者类型
- 犯罪团伙
- 已报告损失
- 未报告
- CVE
- 无
发生了什么
Unit 42获取了TuxBot v3 Evolution框架，其61个C文件中保留着未删除的LLM安全免责声明和思维链注释；约70%可正常工作，包括Telnet暴力破解和DDoS。
影响: 具备可运行的DDoS能力；感染数量未报告。Argon2id哈希和漏洞利用虚拟机等多项宣称功能并不可用。
谁发起了攻击
行为者: Keksec生态运营者
归因: Unit 42通过共享的Kaitori v3.9和AISURU投放器基础设施将运营者与Keksec联系起来；一份Git日志泄露了一个伊朗托管的主机名。
动机: DDoS出租
如何发生
攻击途径: Telnet、SSH、HTTP和ADB扫描器、针对30多个物联网设备家族的漏洞利用、带DDoS面板的Go C2
根本原因: LLM生成的代码让低技能开发者得以组装大型框架，漏洞和免责声明一并保留
时间线
- C2基础设施至少从本月起活跃
- Unit 42在遥测中发现六个新样本
- Unit 42发布分析
应对
Unit 42发布了IOC，并指出只用几条提示就修复了若干漏洞，警告可能存在更完善的版本。
当前状态: 进行中
来源（在新标签页打开）
- Unit 42 unit42.paloaltonetworks.com
- Security Affairs securityaffairs.com
- The Hacker News thehackernews.com
引用此案例
TuxBot v3：Keksec相关物联网僵尸网络借LLM构建，仍保留安全免责声明. AI Threat Watch, 案例 unit42-tuxbot-v3-llm-botnet, 2026年7月16日. https://aithreat.io/zh/cases/unit42-tuxbot-v3-llm-botnet/
永久链接: https://aithreat.io/zh/cases/unit42-tuxbot-v3-llm-botnet/