يكشف بوت نت TuxBot v3 عن موجة جديدة في التهديدات السيبرانية، بعدما ظهرت مؤشرات على تطويره بمساعدة نماذج لغة كبيرة لاستهداف أجهزة إنترنت الأشياء.
ما هو بوت نت TuxBot v3 ولماذا يثير القلق؟
يمثل TuxBot v3 Evolution إطار عمل متكاملاً لبناء بوت نت موجهة إلى أجهزة إنترنت الأشياء، وليس مجرد عينة برمجية بسيطة. اللافت هنا أن التحليل كشف إشارات واضحة إلى الاستعانة بالذكاء الاصطناعي في كتابة أجزاء من الكود، لكن النتيجة لم تكن متقنة بالكامل.
بعض الوظائف البرمجية لم تعمل كما ينبغي، ما يشير إلى أن المطور اعتمد على مخرجات آلية دون مراجعة أمنية دقيقة. ووفقاً لما رصده تيكبامين، فهذا النوع من التطوير قد يخفض حاجز الدخول أمام جهات أقل خبرة ترغب في بناء أدوات هجومية أكثر تعقيداً.
كيف يعمل بوت نت TuxBot v3 على أجهزة إنترنت الأشياء؟
يعتمد الإطار على عميل خبيث مكتوب بلغة C مع دعم لعدة معماريات، ما يسمح له بالعمل على طيف واسع من الأجهزة الضعيفة. كما يتضمن خادم تحكم وسيطرة C2 بلغة Go، إلى جانب بيئة اختبار آلية ونظام بناء وتشغيل منظم.
أبرز المكونات التي تم رصدها
- عميل Bot متعدد المعماريات مثل ARM وMIPS وx86_64 وPowerPC وRISC-V
- خادم C2 مكتوب بلغة Go مع لوحة لإدارة الهجمات
- آلة افتراضية مخصصة لتشغيل الاستغلالات
- بنية اختبار عبر Docker لتجربة العينات
- نظام بناء آلي لتجهيز الإصدارات ونشرها
ولا يكتفي TuxBot v3 بالانتشار التقليدي، بل يحاول كسر كلمات مرور Telnet عبر 1496 زوجاً من بيانات الاعتماد. كذلك يضم شيفرات استغلال تستهدف أكثر من 30 عائلة من أجهزة إنترنت الأشياء اعتماداً على ثغرات معروفة.
ما أساليب الاتصال والهجوم داخل بوت نت TuxBot v3؟
يستخدم هذا التهديد قناة TCP مشفرة للتواصل مع خادم القيادة، لكنه لا يعتمد على مسار واحد فقط. بل يتبنى عدة وسائل احتياطية لضمان استمرار الأوامر حتى عند تعطيل بعض القنوات.
- خوارزمية توليد نطاقات DGA مع SHA512
- بروتوكول P2P لتبادل الأوامر بين العقد
- توقيع أوامر عبر Ed25519 لزيادة الموثوقية
- الاعتماد على IRC وطلبات DNS TXT
- اللجوء إلى HTTP polling كخيار بديل
هذا التنوع في وسائل الاتصال يمنح البوت نت مرونة تشغيلية أعلى، ويصعّب عمليات الحجب التقليدية. كما أن وجود لوحة DDoS يوحي بأن المنصة صُممت لتقديم هجمات حجب الخدمة بشكل منظم أو مدفوع.
هل يشير الذكاء الاصطناعي إلى مرحلة أخطر في برمجيات IoT الخبيثة؟
التحليل يربط سلالة TuxBot بعائلات شهيرة مثل Mirai وAISURU وWuhan، مع نقل جزئي لبعض الوظائف من أدوات DDoS مفتوحة المصدر. كما ظهرت إحدى العينات على منصات الفحص في 20 يناير 2026، ما يدل على أن المشروع موجود منذ أكثر من ستة أشهر، بينما يرجح أن العمل عليه بدأ قبل ذلك بنحو عام.
الأخطر ليس فقط في الكود الحالي، بل في الرسالة التي يحملها: أدوات الذكاء الاصطناعي يمكن أن تسرّع تطوير برمجيات هجومية حتى لو كانت النسخة الأولى مليئة بالأخطاء. ولهذا، يبقى بوت نت TuxBot v3 إشارة مهمة لفرق الحماية، خصوصاً مع استمرار توسع أجهزة إنترنت الأشياء، وهو ما يضع المراقبة الاستباقية والتحديثات الأمنية في صدارة الأولويات كما يوضح تيكبامين.
