Изследователи по киберсигурност разкриха подробности за несъобщавана досега рамка за ботнет от интернет на нещата (IoT), наречена TuxBot v3 Evolution, която показва признаци на разработка с помощта на голям езиков модел (LLM), макар и с не толкова успешни резултати.

„Въпреки че изкуственият интелект е изпълнил заявката им за генериране на код за ботнет, той е включил предупреждение за безопасност, което разработчикът е пропуснал да премахне преди пускането“, съобщават от Palo Alto Networks Unit 42. „Въпреки че LLM очевидно е помогнал за изграждането на ботнета, няколко функции в анализираните проби не работят правилно.“

Компанията за киберсигурност заяви, че ръчен преглед на кода би отстранил тези грешки и че е възможно в дивата природа да съществуват по-изпипани версии на зловредния софтуер.

Рамката на ботнета се състои от множество компоненти: бот агент, написан на C, който се компилира за множество архитектури (напр. ARM, MIPS, MIPSEL, MIPS64, x86_64, PowerPC и RISC-V), сървър за управление и контрол (C2), базиран на Go, с панел за DDoS услуги под наем, персонализирана виртуална машина за експлойти, тестова инфраструктура, базирана на Docker, и автоматизирана система за компилация.

Бот агентът е проектиран да атакува чрез груба сила (brute-force) Telnet достъп на целеви устройства с набор от 1496 двойки идентификационни данни, както и да внедрява код за експлойт, насочен към повече от 30 фамилии IoT устройства, използващи известни уязвимости. Той комуникира с C2 сървъра по криптиран TCP канал, като същевременно прибягва до алгоритъм за генериране на домейни (DGA) със SHA512, peer-to-peer (P2P) протокол с Ed25519-подписани команди, Internet Relay Chat (IRC), DNS TXT заявки и HTTP анкетиране като резервен механизъм.

Родословието на модулната рамка е проследено до три различни ботнета – Mirai, AISURU и Wuhan, в допълнение към частичното пренасяне на някои от функциите му от Python инструментариума с отворен код MHDDoS.

Базираният на Go компонент на C2 сървъра използва три различни TCP порта за входящи връзки:

  • TCP порт 1999 (или 31337), който се използва за обработка на криптирано изпращане на команди към свързаните ботове;
  • TCP порт 2222, който представя интерактивна обвивка (shell) за операторите през SSH;
  • TCP порт 9999, който използва JSON интерфейс за програмен достъп.

Веднъж стартиран, ботнетът следва предварително дефинирана последователност за инициализация, за да извърши серия от действия, включително зареждане на C2 адреса, защита срещу анализ и стартиране на подмодули за DDoS атаки, сканиране и копаене на криптовалута. Устойчивостта на компрометираната машина се постига чрез systemd услуга, cron задачи и watchdog процес.

„Множество файлове съдържат необработени разсъждения (chain-of-thought) от LLM, оставени дословно в коментарите“, споделят от Unit 42. Връзките на TuxBot с инфраструктурата на Kaitori v3.9 и AISURU поставят оператора му в екосистемата Keksec – група, известна с паралелното управление на множество варианти на IoT ботнети.