Unit 42 expose TuxBot v3, botnet IoT multiarchitecture

Unit 42 identifie TuxBot Le 18 août 2026, Palo Alto Networks a détaillé TuxBot v3 Evolution, un framework modulaire de botnet pour objets connectés. L’équipe a récupéré son code source complet, des binaires compilés pour 17 architectures et des rapports automatisés de tests DDoS. Les programmes infectés affichaient la bannière « Infected By Akiru ». Le framework comprend un agent en C, un serveur de commande en Go, une machine virtuelle d’exploitation sous Docker et un système de compilation automatisé. L’analyse complète de Unit 42 décrit cette infrastructure et ses composants observés dans la télémétrie interne.

Une architecture multi-canale TuxBot combine plusieurs mécanismes de commande et de contrôle. Son canal principal utilise une connexion TCP chiffrée. Des solutions de repli reposent sur un algorithme DGA SHA512, des échanges pair-à-pair signés avec Ed25519, IRC, des requêtes DNS TXT et des interrogations HTTP. Le serveur expose un protocole de bot sur le port TCP 1999, ou 31337 selon la compilation. Un serveur SSH écoute sur le port 2222. Une interface JSON destinée aux accès programmatiques utilise le port 9999. Le panneau SSH permet aux opérateurs de consulter les bots connectés et d’envoyer des commandes DDoS.

TuxBot cible plusieurs appareils

Le Telnet reste opérationnel Le flux principal d’infection fonctionne pour le balayage, le forçage d’identifiants, la persistance, la connexion de commande principale et l’exécution DDoS. Les scanners Telnet, SSH, HTTP et Android Debug Bridge fonctionnent également dans les échantillons analysés. Le scanner Telnet embarque 1 496 paires d’identifiants, ce qui en fait un vecteur d’infection viable selon Unit 42. Le framework contient aussi du code d’exploitation visant plus de 30 familles d’appareils IoT. Cependant, les trois systèmes d’exploitation étudiés ne fonctionnaient pas. Un autre scanner s’exécutait, mais son adresse IP de téléchargement codée en dur n’était plus active.

Le code révèle une assistance LLM Les auteurs ont utilisé un grand modèle de langage pour générer des modules C, porter des exploits et écrire le serveur de commande. Les fichiers conservaient même le raisonnement brut produit par le modèle. Un avertissement de sécurité accompagnait du code de botnet et n’avait pas été retiré avant la diffusion. Les auteurs ont aussi livré des implémentations cryptographiques halluciné es sans vérification. Unit 42 estime l’ensemble récupéré fonctionnel à environ 70 %. Plusieurs erreurs auraient été corrigées avec une revue manuelle. Les analystes ont également réparé certaines fonctions avec quelques requêtes ciblées adressées à un LLM.

Les versions de production restent incertaines

Les échantillons retracent le développement Le journal Git indique que le développeur a cloné MHDDoS le 3 janvier 2025. Le domaine digikalas[.]online a été enregistré le 6 août 2025. Entre le 4 et le 6 janvier 2026, 254 rapports ont évalué 12 méthodes d’attaque sur trois hôtes de botnet sous Docker. Le premier échantillon est apparu sur VirusTotal le 20 janvier 2026. Six nouveaux échantillons ont ensuite été détectés le 22 avril 2026, avec plusieurs architectures et une compilation GCC 14.2.0. Le serveur de commande observé sur Xpanse le 5 mars 2026 utilisait l’adresse 209.182.237[.]133 et le port 2222.

Les analystes signalent un risque Le binaire publié sur VirusTotal était une version de développement configurée avec l’adresse locale 127.0.0.1 et le port 31337. Les paramètres peuvent être modifiés lors de l’installation. Unit 42 indique donc que l’opérateur pourrait disposer de compilations de production corrigées, sans établir leur existence. L’écart entre la bannière SSH du code et celle du serveur observé suggère aussi une version modifiée. L’analyse est disponible dans le rapport technique de Unit 42. Palo Alto Networks recommande ses protections WildFire, de filtrage URL, de sécurité DNS et de prévention avancée des menaces.