Palo Alto Networks Unit 42 mengungkap detail tentang framework botnet IoT yang sebelumnya tidak dilaporkan bernama TuxBot v3 Evolution — sebuah botnet yang menunjukkan tanda-tanda dikembangkan dengan bantuan large language model (LLM). Meskipun AI membantu dalam konstruksi botnet, beberapa fungsi dalam sampel yang dianalisis tidak berfungsi dengan benar, menunjukkan bahwa pengembang belum melakukan review kode manual secara menyeluruh.
APA YANG TERJADI?
Unit 42 menemukan bahwa TuxBot v3 Evolution merupakan framework botnet modular yang sangat canggih, terdiri dari beberapa komponen utama: bot agent berbasis C yang melakukan cross-compilation untuk berbagai arsitektur (ARM, MIPS, MIPSEL, MIPS64, x86_64, PowerPC, dan RISC-V), server command and control (C2) berbasis Go dengan panel DDoS-for-hire, custom exploit virtual machine, infrastruktur pengujian berbasis Docker, dan sistem build otomatis. Framework ini memiliki garis keturunan yang dapat ditelusuri ke tiga botnet berbeda — Mirai, AISURU, dan Wuhan — serta sebagian port dari toolkit DDoS Python open-source MHDDoS.
Yang paling menarik dari sudut pandang riset adalah bukti penggunaan LLM dalam pengembangan malware. “Beberapa file berisi reasoning chain-of-thought LLM mentah yang dibiarkan secara verbatim dalam komentar,” tulis peneliti Unit 42. “Komentar-komentar ini merupakan reasoning internal LLM saat bekerja melalui tugas porting. Reasoning ini dilengkapi dengan self-interruption, keputusan, dan referensi kepada ‘the user’ (artinya pengembang yang memberi prompt kepada LLM).” Selain itu, AI menyertakan safety disclaimer yang gagal dihapus oleh pengembang sebelum merilis malware.
DETAIL TEKNIS
Bot agent TuxBot dirancang untuk melakukan brute-force akses Telnet pada perangkat yang ditargetkan menggunakan 1.496 pasangan kredensial, serta mengintegrasikan kode exploit yang menargetkan lebih dari 30 famili perangkat IoT menggunakan kerentanan yang sudah dikenal. Bot berkomunikasi dengan server C2 melalui channel TCP terenkripsi, dengan SHA512 domain generation algorithm (DGA), peer-to-peer (P2P) gossip protocol dengan perintah yang ditandatangani Ed25519, Internet Relay Chat (IRC), DNS TXT queries, dan HTTP polling sebagai mekanisme fallback.
Server C2 berbasis Go menggunakan tiga port TCP berbeda: port 1999 (atau 31337) untuk handling dispatch perintah terenkripsi ke bot yang terhubung, port 2222 yang menyediakan interactive shell bagi operator melalui SSH, dan port 9999 yang menggunakan JSON interface untuk akses programatik. Setelah diluncurkan, botnet mengikuti urutan inisialisasi yang telah ditentukan — memuat alamat C2 dari arsitektur multi-tier dengan satu channel utama dan lima mekanisme alternatif, mengatur anti-debugging dan anti-VM protections, menyembunyikan nama proses, menginstal persistence, dan meluncurkan sub-modul untuk serangan DDoS, pemindai Telnet/SSH/HTTP/ADB, SOCKS5 proxy, serta placeholder cryptocurrency mining. Sampel pertama diunggah ke VirusTotal pada 20 Januari 2026, dan bukti menunjukkan bahwa pengembangan botnet dimulai satu tahun sebelumnya.
DAMPAK TERHADAP INDONESIA
Indonesia merupakan salah satu pasar terbesar untuk perangkat IoT di Asia Tenggara, dengan jutaan router, IP camera, smart home device, dan Android TV box yang terhubung ke internet. Banyak dari perangkat ini menggunakan kredensial default yang tidak pernah diubah, menjadikannya target empuk bagi botnet seperti TuxBot. Dengan kemampuan brute-force 1.496 pasangan kredensial dan exploit untuk lebih dari 30 famili perangkat IoT, TuxBot dapat mengeksploitasi perangkat Indonesia secara massif. BSSN perlu menerbitkan advisori teknis terkait botnet ini kepada penyedia layanan internet dan operator telekomunikasi di Indonesia.
Yang lebih mengkhawatirkan adalah kemampuan TuxBot untuk melakukan DDoS-for-hire melalui panel yang tersedia secara komersial. Indonesia sering menjadi target serangan DDoS, terutama terhadap infrastruktur pemerintah, perbankan, dan portal berita. Fakta bahwa satu pengembang individual dapat membuat multi-pronged toolset dengan bantuan LLM menunjukkan bahwa barrier to entry untuk membuat botnet canggih semakin rendah. Kementerian Kominfo dan BSSN harus memperkuat pemantauan lalu lintas jaringan untuk IOC (Indicator of Compromise) TuxBot, termasuk komunikasi ke port 1999, 2222, dan 9999, serta penggunaan SHA512 DGA.
REKOMENDASI MITIGASI
Ubah semua kredensial default pada perangkat IoT segera setelah pemasangan — gunakan kombinasi huruf besar, huruf kecil, angka, dan simbol dengan minimal 16 karakter. Nonaktifkan akses Telnet pada semua perangkat yang tidak membutuhkannya. Terapkan firmware terbaru dari vendor dan aktifkan automatic update jika tersedia. Monitor lalu lintas jaringan untuk anomali termasuk koneksi ke port 1999, 2222, dan 9999. Implementasikan network segmentation untuk memisahkan perangkat IoT dari jaringan utama. Gunakan IDS/IPS untuk mendeteksi pola brute-force dan exploit yang terkait dengan TuxBot. Audit secara berkala semua perangkat IoT yang terhubung ke jaringan organisasi.
Analisa Retasan
TuxBot v3 Evolution merepresentasikan evolusi signifikan dalam lanskap botnet IoT karena menggabungkan arsitektur modular yang canggih dengan bantuan pengembangan AI. Penggunaan LLM untuk porting kode botnet menunjukkan bahwa teknik AI-assisted development bukan hanya untuk software legitimate — penyerang juga memanfaatkannya untuk mempercepat siklus pengembangan malware. Fakta bahwa reasoning LLM dibiarkan secara verbatim dalam komentar kode mengindikasikan bahwa pengembang adalah individu yang mungkin tidak memiliki keahlian pemrograman C atau Go yang mendalam, namun mampu membangun framework yang kompleks dengan bantuan AI. Ini menurunkan barrier to entry secara signifikan — sesuatu yang mengingatkan pada tren serupa dengan malware creation tools berbasis LLM yang mulai muncul sejak 2024.
Keterkaitan TuxBot dengan ekosistem Keksec — berdasarkan infrastruktur bersama dengan Kaitori v3.9 dan tooling AISURU — menunjukkan bahwa ini bukan operasi terisolasi, melainkan bagian dari portofolio botnet yang dikelola oleh grup yang sama. Kemampuan encrypted C2, DGA, dan modular exploit system meskipun belum sepenuhnya berfungsi dalam versi yang ditemukan, menunjukkan arah pengembangan yang serius. Pola ini konsisten dengan tren di mana grup cybercrime beroperasi seperti startup teknologi — mengembangkan beberapa produk secara paralel, berbagi infrastruktur, dan iterasi cepat melalui pengujian otomatis (Docker-based test infrastructure). Kombinasi antara brute-force Telnet, exploit 30+ famili IoT, dan multi-channel C2 (IRC, HTTP, DNS, P2P) membuat TuxBot sangat resilien terhadap upaya takedown.
Dari perspektif Indonesia, ancaman ini sangat nyata. Jutaan perangkat IoT Indonesia — mulai dari router ISP, IP camera, hingga Android TV box — berjalan dengan firmware usang dan kredensial default. Ekosistem IoT Indonesia belum memiliki framework regulasi keamanan yang kuat seperti EU Cyber Resilience Act. BSSN dan Kominfo perlu menerbitkan pedoman keamanan IoT nasional yang mencakup persyaratan minimum: penghapusan kredensial default, penonaktifan Telnet, dan automatic firmware update. Selain itu, ISP Indonesia harus mempertimbangkan untuk melakukan filtering lalu lintas terhadap port-port yang diketahui digunakan oleh C2 TuxBot, serta memberitahu pelanggan yang perangkat IoT-nya terinfeksi berdasarkan pola lalu lintas yang terdeteksi.
Sumber: The Hacker News — TuxBot v3 Evolution Shows Signs of LLM-Assisted IoT Botnet Development
