Se ha identificado un nuevo framework de botnet para IoT llamado TuxBot v3 Evolution, el cual compromete dispositivos conectados a internet para utilizarlos en ataques de denegación de servicio distribuido (DDoS). Este malware representa un riesgo amplio para equipos basados en Linux, como  ya que puede ejecutarse en diversas arquitecturas y utiliza múltiples vías de acceso, incluyendo Telnet.

Un marco de botnet de IoT recién identificado, TuxBot v3 Evolution, está atacando dispositivos conectados a internet y convirtiendo los sistemas comprometidos en herramientas para ataques de denegación de servicio distribuidos (DDoS).

El malware puede ejecutarse en una amplia gama de arquitecturas de dispositivos, creando un riesgo generalizado para routers, cámaras y otros equipos basados en Linux expuestos.

TuxBot utiliza varias vías para obtener acceso, incluyendo la adivinación de contraseñas de Telnet, el escaneo de SSH, el sondeo basado en HTTP, el escaneo del puente de depuración de Android (ADB) e intentos de explotar dispositivos vulnerables.

Solo su módulo de Telnet contiene 1.496 combinaciones de nombres de usuario y contraseñas, muchas de las cuales son credenciales predeterminadas o específicas del fabricante que siguen siendo comunes en dispositivos mal asegurados.

Analistas de Unit 42 dijeron en un informe que identificaron el malware como un marco de botnet modular, no documentado previamente, con un canal de mando cifrado, un sistema de exploits personalizado e infraestructura destinada a soportar operaciones de DDoS por encargo.

El descubrimiento es notable porque parece que los desarrolladores utilizaron un modelo de lenguaje extenso (LLM) para construir partes sustanciales del marco.

El código fuente recuperado incluye comentarios de seguridad de IA no eliminados y razonamientos de estilo interno, lo que demuestra que el código generado se incorporó con una revisión manual limitada.

La nueva botnet de IoT TuxBot v3 utiliza código generado por LLM

El marco combina un cliente bot basado en C con un servidor de comando y control basado en Go que puede crear cargas útiles para al menos 17 arquitecturas de procesador.

Esto permite a los operadores preparar malware para dispositivos que ejecutan ARM, MIPS, PowerPC, RISC-V, x86-64 y otras plataformas desde un único entorno de desarrollo.

Una vez instalado, el bot intenta permanecer en el dispositivo a través de un servicio de sistema disfrazado, tareas cron, cambios en el perfil de shell, copias de seguridad ocultas, actividad de vigilancia (watchdog) y el reubicamiento repetido de su binario.

También puede disfrazar el nombre de su proceso y buscar malware rival, eliminando infecciones de botnets competidoras del mismo dispositivo.

Los autores tomaron prestados elementos de diseño y código de varias familias de botnets conocidas y del kit de herramientas de código abierto MHDDoS.

Esa reutilización sigue un patrón familiar en el panorama de amenazas de IoT, donde las botnets DDoS derivadas de Mirai continúan brindando a los atacantes una base rápida para construir nuevas herramientas de ataque. Sin embargo, el uso de código generado por IA también dejó fallos graves en la versión recuperada.

Los investigadores encontraron un error de coincidencia en la clave de cifrado que rompía múltiples funciones, una máquina virtual de exploits personalizada que no podía cargar sus propios paquetes y un componente de autenticación etiquetado como Argon2id que en realidad no implementaba el hash de contraseñas Argon2id.

Estos defectos no eliminan el peligro. Las funciones principales de TuxBot, incluidos los ataques de credenciales, las comunicaciones primarias cifradas, la persistencia, el escaneo y la inundación de UDP, TCP y DNS, estaban operativas en las muestras analizadas.

Los investigadores también advirtieron que el operador podría corregir los defectos rápidamente porque ya dispone del código fuente completo.

Infraestructura de DDoS y defensa

TuxBot se conecta a su servidor principal mediante comunicaciones TCP cifradas y puede recurrir a mecanismos de generación de dominios y peer-to-peer si el servidor primario no está disponible.

El servidor del operador incluía un panel accesible vía SSH donde los usuarios podían ver los bots conectados y emitir comandos de ataque, lo que apunta a un servicio diseñado para actividades de DDoS gestionadas.

Los desarrolladores del malware probaron el rendimiento del ataque a través de un entorno basado en Docker y generaron 254 informes de referencia automatizados antes de que las muestras comenzaran a aparecer públicamente.

Aunque el marco anuncia docenas de opciones de ataque, muchos métodos centrados en la web en la compilación analizada estaban incorrectamente dirigidos a inundaciones TCP SYN más simples, dejando algunas capacidades anunciadas inactivas.

Aun así, debes tratar las funciones activas como una amenaza real. Las organizaciones deben eliminar las contraseñas predeterminadas, restringir el acceso a Telnet y a la administración remota, aplicar actualizaciones de firmware y segmentar los dispositivos IoT de los sistemas críticos.

Monitorear los intentos repetidos de autenticación y el tráfico saliente inusual también puede exponer los dispositivos que están siendo reclutados para una botnet, como se ha visto en otros ataques de botnets de IoT.

Los investigadores vincularon la infraestructura de TuxBot con actividades más amplias relacionadas con Keksec, Kaitori y AISURU a través de hosting compartido y artefactos de certificados. Esta conexión no significa que la herramienta sea idéntica a esas familias, sino que muestra cómo los operadores pueden reutilizar la infraestructura mientras mantienen bases de código de malware y campañas separadas.

TuxBot también ilustra un cambio más amplio en las prácticas de desarrollo criminal. La asistencia de la IA puede acelerar la escritura de código y su portabilidad entre plataformas, incluso cuando el resultado es poco fiable, haciendo eco de las preocupaciones planteadas en informes anteriores sobre malware habilitado por LLM.

Fuentes:
https://cybersecuritynews.com/new-tuxbot-v3-iot-botnet-uses-llm-generated-code/