Una botnet IoT modulare cambia canale e architettura
Non è la solita botnet IoT basata su un solo C2 da bloccare: TuxBot v3 è costruita per continuare a funzionare anche quando un canale cade, passando da TCP cifrato a DGA, P2P, IRC, DNS TXT o HTTP polling. Il punto non è l’uso dell’LLM in sé, ma il risultato: un framework più facile da iterare, capace di gestire un device infetto in modi diversi e su più architetture.
Unit 42 ha ricostruito source code, binaries per 17 architetture, infrastruttura di test e un backend Go con pannello DDoS-for-hire. Il bot prova Telnet con 1.496 coppie di credenziali e include exploit per oltre 30 famiglie di device IoT; i campioni analizzati esponevano anche il banner “Infected By Akiru”, segno di una base di codice già pensata per essere riusata e adattata.
Per chi gestisce device esposti su Internet, il messaggio è che il playbook “bloccare un host C2” non basta: se restano Telnet aperto e controlli di uscita deboli, la botnet può cambiare canale e continuare a essere governata.