TuxBot v3 Evolution — Marco de Botnet IoT Modular con Desarrollo Asistido por LLM y Vulnerabilidades Múltiples de RCE (CVE-2022-1388, CVE-2022-22965, CVE-2020-8515, CVE-2022-44877)

Fecha de publicación: 15 de julio de 2026
Categoría: Inteligencia de Amenazas / Ataques de IA (LLM/LocalAI)

Introducción

Investigadores de seguridad han identificado un marco de botnet para internet de las cosas (IoT) previamente no documentado denominado TuxBot v3 Evolution. Este desarrollo destaca no solo por su arquitectura modular multiplataforma y capacidades de ataque de denegación de servicio distribuido (DDoS), sino por un hito preocupante en el cibercrimen: los autores utilizaron modelos de lenguaje grande (LLM) para asistir en la generación y traducción del código fuente del malware. El análisis forense reveló artefactos de razonamiento en cadena de pensamientos (chain-of-thought) del LLM incrustados en los comentarios del código, acompañados de fallos lógicos introducidos por la inteligencia artificial y pasados por alto por los operadores.

¿Qué es TuxBot v3 Evolution? (Análisis General)

TuxBot v3 Evolution es un kit de botnet modular diseñado para infectar dispositivos IoT y servidores expuestos mediante escaneos de fuerza bruta de credenciales, así como mediante la explotación de vulnerabilidades de ejecución remota de código (RCE) históricas y críticas en diversos dispositivos y aplicaciones de red.

El marco comprende un agente en C compilable para 17 arquitecturas de hardware diferentes, un servidor de Comando y Control (C2) desarrollado en Go con un panel comercial DDoS-for-hire (DDoS de alquiler), una máquina virtual de exploits personalizada y un sistema automatizado de construcción basado en Docker.

Las vulnerabilidades de RCE asociadas al ecosistema de explotación del marco incluyen fallos graves añadidos en sus catálogos de exploits (aunque algunos presenten fallos de implementación en la versión analizada):

  • CVE-2022-1388: Omisión de autenticación iControl REST en F5 BIG-IP (CVSS 9.8 Critical, CWE-306). Confirmado en catálogo CISA KEV.
  • CVE-2022-22965: RCE en Spring Framework por enlace de datos (Spring4Shell) (CVSS 9.8 Critical, CWE-94). Confirmado en catálogo CISA KEV.
  • CVE-2022-44877: Ejecución de comandos del sistema operativo mediante metacaracteres en Control Web Panel (CWP) (CVSS 9.8 Critical, CWE-78). Confirmado en catálogo CISA KEV.
  • CVE-2020-8515: RCE sin autenticación en pasarelas DrayTek Vigor (CVSS 9.8 Critical, CWE-78). Confirmado en catálogo CISA KEV.

El compromiso de estos componentes expone infraestructuras críticas y servidores corporativos a la integración en redes zombis orientadas a la extorsión y ataques masivos de inundación de tráfico.

¿Cómo funciona? (Análisis Técnico)

El funcionamiento de TuxBot v3 Evolution se divide en fases automatizadas desde la infección hasta el mantenimiento de la persistencia y la resiliencia de la red de comando y control:

  • Flujo inicial de infección y escaneo: El agente ejecuta de forma concurrente escáneres especializados para Telnet (utilizando 1,496 pares de credenciales por defecto), SSH, HTTP y ADB (Android Debug Bridge). Las credenciales válidas y las respuestas exitosas se procesan para propagar el binario descargado desde servidores dropper externos.
  • Mecanismos de persistencia y evasión: Se instala sigilosamente mediante servicios falsos de systemd (sd-pam.service), entradas en cron, inyección en perfiles de shell (.bashrc, .profile), reubicación periódica de binarios con nombres de demonios legítimos y un módulo anti-VM que evalúa marcas de tiempo, registros DMI y contadores de CPU para evadir entornos de análisis.
  • Capa de Comunicación C2 y Resiliencia: El canal principal utiliza un protocolo TCP cifrado basado en curvas elípticas (X25519) y cifrado autenticado ChaCha20-Poly1305. Como redundancia (fall-back), incorpora un Algoritmo de Generación de Dominios (DGA) basado en SHA-512, protocolos de comunicación P2P gossip firmados con Ed25519 y consultas DNS TXT.

“La dependencia ciega de los desarrolladores en código generado por LLM introdujo errores críticos de sintaxis criptográfica y desajustes en las claves XOR, lo que demuestra que los asistentes de IA actuales pueden acelerar el desarrollo de malware pero también inyectan vulnerabilidades estructurales si no se realiza una revisión humana rigurosa.”

Sistemas / Entornos Afectados

El marco afecta conceptualmente a cualquier dispositivo o servidor expuesto que ejecute las versiones vulnerables de los productos integrados en sus motores de explotación, abarcando arquitecturas de hardware heterogéneas:

  • Dispositivos de red DrayTek Vigor (CVE-2020-8515).
  • Aplicaciones web que utilizan Spring Framework en despliegues WAR con JDK 9+ (CVE-2022-22965).
  • Controladores de entrega de aplicaciones F5 BIG-IP (CVE-2022-1388).
  • Paneles de administración CentOS Web Panel / Control Web Panel (CVE-2022-44877).
  • Arquitecturas de hardware compatibles con los binarios compilados: x86_64, ARM, ARM64, MIPS, MIPSEL, MIPS64, PowerPC, RISC-V, s390x, SH, SPARC, entre otros.
CVECategoría (CWE)ImpactoCVSSVector (resumido)
CVE-2022-1388CWE-306 (Falta de Autenticación)Ejecución Remota de Código / Omisión Auth9.8CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVE-2022-22965CWE-94 (Control Generation of Code / Spring4Shell)Ejecución Remota de Código9.8CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVE-2020-8515CWE-78 (Inyección de Comandos OS)Ejecución Remota de Código como root9.8CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVE-2022-44877CWE-78 (Inyección de Comandos OS)Ejecución Remota de Código9.8CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Mitigación y Detección

Remediación

  • Actualización de firmware y parches: Aplicar de inmediato los parches oficiales de los fabricantes para las vulnerabilidades CVE-2022-1388 (F5), CVE-2022-22965 (Spring), CVE-2020-8515 (DrayTek) y CVE-2022-44877 (CWP).
  • Hardening de credenciales: Deshabilitar el acceso Telnet expuesto a internet en dispositivos IoT y cambiar obligatoriamente todas las credenciales por defecto de fábrica.
  • Segmentación de red: Aislar los dispositivos IoT y pasarelas de red en VLANs dedicadas con políticas estrictas de filtrado de tráfico saliente (egress filtering).

Detección

  • Monitoreo de IoCs en Red: Auditar el tráfico en busca de conexiones hacia los servidores de infraestructura conocidos (por ejemplo, 185.10.68.127 o 209.182.237.133) y peticiones DGA anómalas basadas en SHA-512.
  • Detección de Patrones en Endpoints: Buscar la presencia del banner de consola Infected By Akiru, la ejecución del servicio systemd sd-pam.service o la presencia de procesos con nombres enmascarados imitando demonios legítimos (systemd-udevd, dbus-daemon).
yaml 
rule TuxBot_v3_Indicators {
    meta:
        description = "Detecta artefactos e indicadores de binarios de TuxBot v3 Evolution"
        author = "Honeynet Academic Analyst"
        date = "2026-07-15"
    strings:
        $banner = "Infected By Akiru" ascii
        $service = "sd-pam.service" ascii
        $magic_c2 = { 01 DE AD BE }
    condition:
        any of them
}

Recapitulando

TuxBot v3 Evolution representa una evolución significativa en el diseño de botnets IoT al incorporar arquitecturas de comunicación cifradas robustas y metodologías de desarrollo asistidas por inteligencia artificial. Aunque la dependencia ciega de la IA introdujo fallos lógicos y de cifrado en la versión inicial analizada, la facilidad con la que estos errores pueden corregirse demuestra que las botnets de próxima generación impulsadas por IA comercial representan una amenaza latente y escalable para la infraestructura conectada global.

Referencias