Quand un malware laisse traîner dans son code source les brouillons de raisonnement d’un modèle de langage, on tient un aveu signé. Les chercheurs de Palo Alto Networks Unit 42 disent avoir mis au jour TuxBot v3 Evolution, un framework de botnet IoT modulaire mêlant du code généré à l’aide d’un LLM, 1 496 identifiants Telnet et des exploits visant plus de 30 familles d’appareils connectés. Détail cocasse pour une base de malware : l’auteur a oublié de nettoyer les fragments de raisonnement du modèle avant livraison.
Points clés
- TuxBot v3 Evolution combine agent en C, C2 en Go, panneau DDoS et exploits visant plus de 30 familles d’appareils IoT
- Le code contient des fragments de raisonnement de LLM et des implémentations cryptographiques erronées reprises sans vérification
- Framework fonctionnel à environ 70 %, avec 1 496 identifiants Telnet et des binaires en circulation depuis janvier 2026
Un couteau suisse du DDoS, monté à la chaîne
TuxBot v3 Evolution ne se résume pas à un binaire d’infection. Selon Palo Alto Networks Unit 42, l’ensemble comprend un agent en C, un serveur de commande et contrôle (C2) en Go, un panneau d’administration pour lancer des attaques DDoS à la demande, un système de compilation, des infrastructures de test sous Docker et un moteur d’exploitation maison. Cerise sur le gâteau, les machines compromises affichent la mention « Infected By Akiru ».
Les chercheurs disent avoir récupéré le code source complet et des binaires compilés pour 17 architectures. Le botnet cible les appareils via Telnet, SSH, HTTP et ADB (Android Debug Bridge), avec un module de force brute Telnet reposant sur les 1 496 couples login/mot de passe embarqués. S’y ajoutent des exploits visant plus de 30 familles d’équipements IoT.
Le socle fonctionne : balayage réseau, bruteforce d’identifiants, persistance, mise en place du C2 principal et exécution des attaques DDoS. En revanche, plusieurs briques restent en panne, à commencer par certains systèmes d’exploitation. Les bugs constatés ont été rattachés à une écriture assistée par LLM.
De l’IA dans le moteur, et des ratés dans la crypto
D’après l’analyse relayée par The Hacker News, l’auteur s’est servi d’un modèle pour générer des modules en C, porter des exploits et écrire une partie du serveur C2. Le LLM a même pondu des implémentations cryptographiques erronées, reprises telles quelles dans le projet sans le moindre contrôle. Détail savoureux : les chercheurs ont réparé plusieurs fonctions cassées en reformulant les problèmes à un LLM, signe qu’une version plus aboutie traîne peut-être ailleurs.
Le framework est jugé fonctionnel à environ 70 %. Côté repli, l’infrastructure C2 embarque un DGA (algorithme de génération de domaines) en SHA-512, un mode pair à pair signé en Ed25519, des requêtes DNS TXT, de l’HTTP polling et un canal IRC. Les binaires circuleraient depuis janvier 2026 et le C2 serait actif au moins depuis mars 2026.
Le décor s’assombrit aussi côté recherche. Une étude publiée en juin 2026 sur l’usage d’un LLM pour générer des pseudo-serveurs C2 destinés aux malwares IoT montre que ces modèles automatisent déjà une partie de l’environnement d’analyse dynamique. Un autre travail déposé début juillet 2026 rapporte que des agents IA autonomes obtiennent de bons résultats sur des scénarios d’exploitation IoT en test. Aucun ne parle de TuxBot, mais tous placent l’affaire dans la même trajectoire : l’outillage qui accélère la fabrication de code offensif.
Ce que ça change pour la menace IoT
Sur le fond, rien de neuf sous le soleil des objets connectés : les botnets IoT prospèrent toujours sur les ports exposés, les mots de passe par défaut et les services laissés grands ouverts. L’intérêt du dossier tient à l’assemblage. Un seul développeur peut désormais, avec l’aide d’un modèle, produire un framework multi-architecture, un panneau de pilotage et des modules d’attaque en série.
La menace n’est ni purement théorique ni pleinement opérationnelle, mais assez avancée pour livrer un instantané utile. L’IA ne remplace pas encore l’attaquant chevronné : elle lui offre un assistant zélé qui code vite, se trompe parfois, et oublie de faire le ménage derrière lui.
