TuxBot v3: Botnet IoT Pertama yang Dibangun dengan Bantuan AI — Lengkap dengan Bug dan Disclaimer Keselamatan LLM yang Terbawa ke Kode Produksi

Ringkasan Eksekutif

Tim riset ancaman Unit 42 milik Palo Alto Networks mengungkap temuan yang menandai babak baru dalam evolusi pengembangan malware: sebuah kerangka kerja botnet Internet of Things (IoT) modular bernama TuxBot v3 Evolution, yang sebagian besar kodenya tampak dikembangkan dengan bantuan large language model (LLM). Yang membuat temuan ini unik bukan hanya kapabilitas botnetnya, melainkan bukti nyata bagaimana AI generatif kini digunakan langsung dalam siklus pengembangan malware — lengkap dengan segala kekurangannya.

Peneliti menemukan bahwa 61 file kode sumber C dalam TuxBot masing-masing membawa header identik berisi peringatan keselamatan: “this code is for educational and authorized security research only” — disclaimer standar yang biasa disisipkan LLM saat diminta menghasilkan kode yang berpotensi disalahgunakan. Pengembang malware ini tampaknya tidak pernah menghapus satu pun baris disclaimer tersebut sebelum mengompilasi dan mendistribusikan botnet ke perangkat korban di seluruh dunia.

Lebih jauh, Unit 42 menemukan bahwa ketergantungan pada AI ini menghasilkan hasil yang beragam — LLM memang berhasil membantu menyusun kerangka botnet, tetapi sejumlah fungsi penting dalam sampel yang dianalisis gagal bekerja dengan benar akibat minimnya proses review manual terhadap kode yang dihasilkan.

Apa Itu TuxBot v3 Evolution?

TuxBot v3 Evolution adalah kerangka kerja botnet IoT modular yang diturunkan dari berbagai basis kode botnet IoT yang sudah dikenal. Berdasarkan analisis Unit 42, TuxBot menggabungkan fitur dari botnet AISURU yang telah dikenal luas, garis keturunan botnet Wuhan yang sebelumnya tidak terdokumentasi secara publik, serta sebagian kode yang di-porting dari MHDDoS, sebuah toolkit DDoS berbasis Python yang bersifat open-source.

Unit 42 berhasil memulihkan set artefak pengembangan yang sangat lengkap dari telemetri internal mereka, meliputi:

• Kode sumber lengkap kerangka kerja
• Binary hasil kompilasi
• Lingkungan pengujian berbasis Docker
• 254 laporan benchmark DDoS otomatis

Sistem konfigurasi TuxBot menunjukkan skema versi ganda: 3.5.2 untuk versi installer, dan 3.0.0-EVOLUTION-FINAL dalam file konfigurasi Docker — mengindikasikan proses pengembangan yang aktif dan berkelanjutan hingga awal 2026.

Jejak AI yang Tertinggal di Kode Sumber

Bagian paling mencolok dari temuan Unit 42 adalah bukti langsung keterlibatan LLM dalam proses pengembangan:

• 61 file kode sumber membawa header disclaimer keselamatan AI yang identik dan tidak pernah dihapus
• Beberapa file bahkan berisi rantai pemikiran (chain-of-thought) mentah dari LLM yang tertinggal secara verbatim di dalam komentar kode — memberikan gambaran langka tentang bagaimana AI “berpikir” saat menyusun modul-modul botnet
• Unit 42 menyatakan: “Para pengembang malware memanfaatkan LLM untuk membantu pengembangan kode mereka, dengan hasil yang beragam. Meski AI mematuhi permintaan mereka untuk menghasilkan kode botnet, ia menyertakan disclaimer keselamatan yang gagal dihapus oleh pengembang sebelum dirilis.”

Peneliti Unit 42 bahkan menguji ulang beberapa fungsi yang rusak dengan pendekatan serupa — mereka berhasil merekonstruksi entri tabel yang benar dan memperbaiki kanal command-and-control (C2) berbasis IRC hanya dengan beberapa prompt yang ditargetkan, menunjukkan betapa mudahnya kesalahan tersebut sebenarnya bisa diperbaiki jika pengembang melakukan review manual yang memadai.

Arsitektur Teknis TuxBot

TuxBot v3 Evolution terdiri dari beberapa komponen utama:

Komponen	Deskripsi
Bot agent	Ditulis dalam C, cross-compile untuk berbagai arsitektur (ARM, MIPS, MIPSEL, MIPS64, x86_64, PowerPC, RISC-V)
Server C2	Ditulis dalam Go, mendukung kanal DNS, DGA (Domain Generation Algorithm), dan P2P
Modul scanning	Telnet, SSH, HTTP, dan Android Debug Bridge (ADB) untuk menemukan perangkat yang terekspos
Kredensial brute-force	1.496 pasangan kredensial default dan spesifik vendor untuk menyerang router, kamera, DVR, dan perangkat tertanam lainnya
Mekanisme persistensi	Systemd service, entri cron, dan proses watchdog keepalive

Bot agent mendukung total 17 arsitektur prosesor target, menjadikannya salah satu kerangka botnet IoT paling luas jangkauannya yang pernah ditemukan Unit 42. Setelah berhasil menginfeksi perangkat, TuxBot menampilkan pesan konsol “Infected By Akiru” — kemungkinan sebagai penghormatan terhadap ekosistem botnet IoT yang lebih luas dari mana ia meminjam kode dan konsep operasional.

Untuk persistensi, TuxBot menggunakan berbagai mekanisme sekaligus: layanan sistem yang disamarkan, entri cron, modifikasi profil shell, salinan cadangan tersembunyi, dan proses watchdog. Malware ini bahkan dapat mengganti namanya sendiri agar menyerupai daemon Linux yang sah, serta secara aktif menghapus botnet pesaing dari perangkat yang telah terinfeksi.

Bug dan Kegagalan Fungsi Akibat Kode Hasil AI

Meski LLM berhasil mempercepat pengembangan, Unit 42 menemukan beberapa cacat implementasi signifikan yang mengindikasikan kode hasil AI diintegrasikan dengan review manual yang sangat minim:

• Bug tabel enkripsi string XOR yang rusak — menyebabkan sejumlah fungsi gagal beroperasi
• Virtual machine eksploitasi yang tidak berfungsi
• Rutin Argon2id palsu — yang sebenarnya hanya berperilaku seperti hashing SHA-256 berulang, mirip dengan implementasi PBKDF yang keliru
• Kanal IRC dan HTTP yang gagal berfungsi akibat bug enkripsi string, sementara kanal DNS, DGA, dan P2P justru berfungsi dengan baik

Unit 42 mencatat bahwa kesalahan-kesalahan ini seharusnya dapat diperbaiki dengan mudah melalui review kode manual — dan memperingatkan bahwa versi TuxBot yang lebih matang kemungkinan besar sudah beredar di dunia nyata, mengingat operator botnet ini terus aktif mengembangkan dan mendistribusikan sampel baru.

Kapabilitas Serangan dan Skala Ancaman

TuxBot dirancang untuk kompromi massal, persistensi jangka panjang, dan operasi distributed denial-of-service (DDoS) terdistribusi. Modul HTTP scanner-nya secara khusus mampu mengelola hingga 128 koneksi bersamaan dalam satu waktu, dengan tujuan menemukan antarmuka web yang rentan.

Kapabilitas serangan DDoS yang didukung mencakup:

• UDP flooding
• TCP flooding
• DNS flooding

Komunikasi dengan operator dilakukan melalui koneksi TCP terenkripsi, sementara mekanisme fallback berupa domain generation algorithm (DGA) dan komunikasi peer-to-peer (P2P) gossiping memastikan botnet tetap dapat dikendalikan meski server C2 utama diblokir atau di-takedown.

Unit 42 mengonfirmasi telah mendeteksi enam sampel baru TuxBot v3 pada April 2026 dalam telemetri internal mereka — dikompilasi menggunakan GCC 14.2.0 untuk build produksi di berbagai arsitektur — menunjukkan bahwa pengembangan dan distribusi botnet ini masih berlangsung aktif.

Jejak Infrastruktur dan Atribusi

Investigasi Unit 42 berhasil mengungkap beberapa jejak infrastruktur penting:

• Server C2 aktif di 209.182.237[.]133, aktif setidaknya sejak Maret 2026
• Infrastruktur dropper bersama di 185.10.68[.]127
• Log Git milik pengembang secara tidak sengaja membocorkan hostname workstation yang mengarah ke mesin yang dihosting di Iran
• Domain induk digikalas[.]online mengarah ke Iran’s Arvan Cloud CDN

Jejak-jejak ini memberikan indikasi kuat mengenai lokasi geografis pengembang, meski atribusi definitif terhadap kelompok atau individu tertentu masih memerlukan investigasi lebih lanjut.

Kaitan dengan Ekosistem Keksec dan AISURU

Unit 42 menyimpulkan bahwa infrastruktur yang digunakan bersama antara TuxBot dengan botnet Kaitori v3.9 dan tooling AISURU menempatkan operator TuxBot dalam ekosistem Keksec — sebuah kelompok yang dikenal secara historis menjalankan berbagai varian botnet IoT secara paralel. Berdasarkan temuan ini, TuxBot tampaknya merupakan varian tambahan dalam portofolio botnet yang lebih luas milik kelompok tersebut, bukan proyek yang berdiri sendiri.

Fenomena “Prompt Kiddies”: Ketika AI Menurunkan Hambatan Membuat Malware

Temuan TuxBot memunculkan istilah baru di kalangan peneliti keamanan: “prompt kiddies” — sebuah plesetan dari istilah lama “script kiddies” yang merujuk pada pelaku kejahatan siber dengan kemampuan teknis rendah yang mengandalkan alat siap pakai. Kini, dengan bantuan LLM, individu dengan kemampuan pemrograman terbatas berpotensi menyusun kerangka malware fungsional hanya dengan serangkaian prompt yang tepat.

Fenomena ini menandai pergeseran signifikan dalam lanskap ancaman:

1. Penurunan hambatan teknis: Pengembangan malware yang sebelumnya memerlukan keahlian pemrograman tingkat lanjut kini dapat sebagian dilakukan melalui interaksi bahasa alami dengan AI
2. Kualitas kode yang tidak konsisten: Sebagaimana ditunjukkan oleh bug-bug dalam TuxBot, kode hasil AI tanpa review manual yang memadai cenderung mengandung cacat fungsional signifikan
3. Jejak forensik baru: Disclaimer keselamatan AI dan rantai pemikiran yang tertinggal di kode menjadi indikator forensik baru yang dapat membantu peneliti mengidentifikasi malware yang dikembangkan dengan bantuan AI

Implikasi bagi Industri Keamanan Siber

Kasus TuxBot memiliki beberapa implikasi penting bagi industri keamanan siber secara keseluruhan:

• Percepatan siklus pengembangan malware: AI generatif berpotensi mempercepat waktu yang dibutuhkan pelaku ancaman untuk mengembangkan dan mengiterasi malware baru
• Munculnya indikator forensik baru: Disclaimer AI dan artefak chain-of-thought yang tertinggal di kode dapat menjadi sinyal deteksi baru bagi peneliti keamanan
• Perlunya kewaspadaan penyedia LLM: Insiden ini menegaskan pentingnya mekanisme keamanan berlapis pada penyedia layanan AI — meski disclaimer keselamatan berhasil disisipkan, hal ini tidak sepenuhnya mencegah penyalahgunaan hasil keluaran AI

Rekomendasi Mitigasi

Bagi organisasi yang mengelola perangkat IoT atau infrastruktur jaringan yang berpotensi menjadi target TuxBot, Unit 42 dan komunitas keamanan merekomendasikan:

1. Mengganti kredensial default pada seluruh perangkat IoT — router, kamera IP, DVR, dan perangkat tertanam lainnya — mengingat TuxBot membawa 1.496 pasangan kredensial siap pakai untuk brute-force
2. Menonaktifkan akses Telnet, SSH, dan ADB yang tidak diperlukan pada perangkat yang terhubung ke internet
3. Menerapkan segmentasi jaringan untuk memisahkan perangkat IoT dari infrastruktur kritis
4. Memantau lalu lintas DNS dan P2P yang tidak biasa, mengingat TuxBot menggunakan mekanisme fallback berbasis DGA dan komunikasi peer-to-peer
5. Menerapkan pembaruan firmware secara rutin untuk menutup kerentanan yang dapat dieksploitasi oleh modul scanning HTTP TuxBot

Kesimpulan

TuxBot v3 Evolution bukan sekadar botnet IoT baru dalam lautan ancaman yang sudah ada — ia adalah bukti nyata pertama yang terdokumentasi secara rinci tentang bagaimana large language model kini menjadi bagian integral dari alur kerja pengembangan malware, lengkap dengan segala keunggulan kecepatan dan kelemahan kualitas yang menyertainya.

Disclaimer keselamatan AI yang tertinggal di 61 file kode sumber menjadi pengingat ironis: AI generatif memang dapat dipaksa menghasilkan kode berbahaya, tetapi jejak yang ditinggalkannya — baik berupa disclaimer maupun bug fungsional — juga membuka peluang baru bagi peneliti keamanan untuk mengidentifikasi dan menganalisis malware generasi baru ini. Namun, sebagaimana ditekankan Unit 42, kesalahan-kesalahan tersebut dapat diperbaiki dengan mudah oleh pengembang yang lebih teliti — dan kemungkinan besar versi TuxBot yang lebih matang dan berfungsi penuh sudah beredar di alam liar.

Bagi industri keamanan siber, TuxBot menjadi peringatan dini bahwa era “prompt kiddies” telah tiba — dan pertahanan terhadap malware generasi AI ini memerlukan kombinasi antara kewaspadaan teknis tradisional dan pemahaman baru tentang bagaimana ancaman ini diciptakan.

Artikel ini disusun berdasarkan laporan resmi Unit 42 Palo Alto Networks (17 Juli 2026), serta liputan dari The Hacker News, GBHackers, SC Media, Security Affairs, FastNetMon, dan Mallory per 16-17 Juli 2026.