Jesper Bengtson
Ett nytt IoT-botnät byggt med hjälp av AI-genererad kod försöker just nu ta över uppkopplade enheter i vanliga hem.
Säkerhetsforskare vid Palo Alto Networks Unit 42 avslöjade i mitten av juli 2026 ett tidigare odokumenterat botnät-ramverk kallat TuxBot v3. Ramverket är ovanligt av en enda anledning: stora delar av koden är skriven av en stor språkmodell, och utvecklaren har lämnat kvar både AI:ns interna resonemang och en säkerhetsvarning som modellen automatiskt lade till.
Botnätet riktar sig mot samma typ av enheter som tidigare vågor av IoT-skadlig kod: routrar, uppkopplade kameror, digitalboxar och andra smarta hem-prylar som körs på processorer som ARM och MIPS.
Så fungerar TuxBot v3
Ramverket består av en bot-agent skriven i C, en kommando- och kontrollserver skriven i Go samt en färdig panel för att sälja överbelastningsattacker till andra kriminella. Enligt Unit 42 korskompileras agenten för 17 olika processorarkitekturer, bland annat ARM, MIPS, PowerPC, RISC-V och x86_64, vilket täcker in de flesta uppkopplade konsumentprylar på marknaden.
Angreppen sker på flera sätt samtidigt. Boten testar sig fram med 1 496 vanliga användarnamn- och lösenordskombinationer mot Telnet, och den innehåller separata skannare för SSH, HTTP och Android Debug Bridge. Utöver detta finns färdiga sårbarhetsexploater riktade mot mer än 30 olika familjer av IoT-enheter.
När en enhet väl är kapad ansluter den till botnätet och kan användas i överbelastningsattacker. Ramverket har totalt 78 registrerade angreppsvektorer, från UDP- och TCP SYN-floder till DNS-frågor i stor skala.
AI:n gjorde jobbet, men slarvigt
Det som gör TuxBot v3 principiellt nytt är hur mycket av utvecklingen som lagts ut på en språkmodell. The Hacker News beskriver hur 61 C-filer alla bär samma automatgenererade sidhuvud där modellen påpekar att ”koden är för utbildnings- och auktoriserad säkerhetsforskning”, en text som utvecklaren aldrig tog bort innan skadlig kod skickades ut.
Modellen har också producerat felaktig kod som utvecklaren inte har verifierat. Security Affairs rapporterar att språkmodellen hallucinerade fram en kryptografisk implementation av typen Argon2id men i praktiken använde en helt annan hash-funktion, att en XOR-nyckel inte matchar mellan komponenter, och att 16 funktioner i praktiken kompilerats som död kod. Unit 42 bedömer att endast omkring 70 procent av ramverket faktiskt fungerar som utvecklaren tänkt sig.
Det tröstande här är begränsat. Även en halvfärdig bot räcker för att kapa dåligt skyddade enheter, och nästa version kan vara betydligt mer polerad.
Tre konkreta steg du bör ta nu
Konsumentelektronik är den svaga länken. Många hushåll har routrar och smarta hem-prylar som köptes för fem år sedan och aldrig har fått en firmwareuppdatering. Dessa är precis vad TuxBot letar efter.
Byt standardlösenordet på routern och varje smart enhet. TuxBots Telnet-modul går igenom nästan 1 500 vanliga kombinationer på några sekunder. Ett unikt, långt lösenord räcker för att stänga dörren.
Slå på automatiska firmwareuppdateringar där det går, och byt ut enheter som inte längre får uppdateringar. En router som tillverkaren har slutat supporta är en säkerhetsrisk oavsett hur bra den funkar.
Stäng av UPnP och WPS i routerns inställningar. Båda funktionerna gör livet enklare för smarta hem-prylar, men de öppnar också vägar in som skadlig kod utnyttjar rutinmässigt. Den som vill gå längre kan sätta upp ett separat gästnätverk enbart för IoT-enheter, så att en kapad kamera inte kan nå datorn eller mobilen.
