كشف باحثو الأمن السيبراني عن تفاصيل إطار جديد لشبكات إنترنت الأشياء (IoT) يُعرف باسم TuxBot v3 Evolution، والذي يُظهر دلائل على أنه تم تطويره بمساعدة نموذج لغوي كبير (LLM). ورغم أن هذه المساعدة ساهمت في تسريع بناء الإطار، إلا أن النتائج لم تكن مثالية، حيث احتوت النسخ التي تم تحليلها على وظائف غير مكتملة وأخطاء برمجية واضحة.
مكونات الإطار وآلية العمل
يتكون إطار TuxBot من عدة عناصر رئيسية:
- وكيل (Bot Agent) مكتوب بلغة C ومصمم ليعمل على معماريات متعددة مثل ARM وMIPS وRISC-V وx86_64.
- خادم تحكم وسيطرة (C2) مكتوب بلغة Go مع لوحة لإدارة هجمات DDoS-for-hire.
- آلة افتراضية مخصصة لتشغيل الاستغلالات.
- بنية اختبار تعتمد على Docker.
- نظام بناء آلي لتجميع المكونات.
الوكيل مصمم لاختراق أجهزة إنترنت الأشياء عبر هجمات Brute Force على بروتوكول Telnet باستخدام أكثر من 1496 زوجًا من بيانات الدخول، إضافة إلى استغلال ثغرات معروفة في أكثر من 30 عائلة من الأجهزة. يتواصل الوكيل مع خادم C2 عبر قناة TCP مشفرة، ويعتمد على آليات متعددة مثل خوارزمية توليد النطاقات DGA، بروتوكول P2P Gossip، أوامر موقعة بمفاتيح Ed25519، إضافة إلى قنوات بديلة عبر IRC وDNS وHTTP.
البنية التقنية والقدرات الهجومية
يحتوي الخادم على ثلاث منافذ TCP رئيسية:
- المنفذ 1999 أو 31337 لإرسال الأوامر المشفرة.
- المنفذ 2222 لتوفير واجهة تفاعلية عبر SSH.
- المنفذ 9999 لتقديم واجهة JSON للبرمجة الآلية.
عند التشغيل، يقوم الإطار بسلسلة من الخطوات تشمل:
- تحميل عنوان C2 من بنية متعددة الطبقات.
- تفعيل آليات مضادة للتصحيح والتحليل الافتراضي.
- إخفاء اسم العملية وتثبيت آليات الاستمرارية عبر systemd وcron.
- تشغيل وحدات فرعية لتنفيذ هجمات DDoS، فحص منافذ Telnet وSSH وHTTP وADB، إنشاء وكيل SOCKS5، وتنفيذ مهام تعدين العملات الرقمية.
إشارات على تدخل الذكاء الاصطناعي
أحد الجوانب اللافتة هو وجود تعليقات داخل الملفات تحتوي على “سلاسل التفكير” الخاصة بالنموذج اللغوي، بما في ذلك قراراته وتوقفاته أثناء عملية النقل البرمجي. هذا يؤكد أن المطور اعتمد على الذكاء الاصطناعي لتسريع عملية التطوير، لكنه لم يقم بمراجعة يدوية كافية لتصحيح الأخطاء.
الانتماء إلى منظومة Keksec
بحسب باحثي Unit 42، فإن البنية التحتية المشتركة بين TuxBot وبعض الأدوات مثل Kaitori v3.9 وAISURU تشير إلى أن المطور ينتمي إلى منظومة Keksec، وهي مجموعة معروفة بإدارة عدة شبكات Botnet متوازية. ويبدو أن TuxBot يمثل محاولة جديدة لتجاوز النُسخ التقليدية المشتقة من Mirai عبر دمج تقنيات أكثر تطورًا مثل التشفير وخوارزميات DGA.
سياق أوسع للهجمات
يأتي الكشف عن TuxBot بالتزامن مع ظهور شبكات أخرى مثل RustDuck وAryStinger، التي تستهدف أجهزة التوجيه وكاميرات IP وصناديق أندرويد والخوادم ضعيفة التأمين، بهدف تعطيل الخدمات الإلكترونية وتنفيذ عمليات استطلاع واسعة النطاق. هذا يعكس اتجاهًا متزايدًا نحو تطوير شبكات هجومية أكثر تعقيدًا، مع دمج أدوات الذكاء الاصطناعي في مراحل البرمجة والتصميم.
