AIがコード生成を支援か、開発途上の新型IoTボットネット「TuxBot v3」が検出される

要点

• 米セキュリティ企業のPalo Alto Networksは、大規模言語モデル（LLM）と呼ばれるAIの支援を受けて開発された形跡がある新型のIoTボットネットフレームワーク「TuxBot v3 Evolution」を発見しました。

• 解析されたプログラムの内部には、AIがコードを作成した際に付与する安全上の免責事項や、AIの思考プロセスが記述されたコメントが削除されずに残っていました。

• このボットネットは、多様なCPUで動作するボットエージェントや、攻撃のコントロールパネルを持つC2サーバーなど、複数の高度なコンポーネントで構築されています。

• 開発にAIが使われた一方で、コードの不備を手動で修正しきれていなかったため、分析された一部の機能は正常に動作していませんでした。

• 米国のセキュリティ企業Palo Alto Networksの脅威インテリジェンス調査チーム「Unit 42」は2026年7月15日、人工知能技術である大規模言語モデル（LLM、高度な文章やプログラムを生成できるAI）の支援を受けて開発されたとみられる、モノのインターネット（IoT、テレビやカメラなどの機器がインターネットにつながる仕組み）機器を標的とした新型のボットネットフレームワーク「TuxBot v3 Evolution」の詳細を明らかにしました。ボットネットとは、乗っ取られた多数のデバイスで構成される攻撃用のネットワークのことです。今回の報告は、サイバー犯罪者が悪意あるプログラムの開発にAIを利用し始めている実態を示すとともに、生成されたコードの調整不足による機能不全という実態も浮き彫りにしています。

AIによるコード生成の痕跡と動作不良

Unit 42の解析によると、このボットネットを構成する複数のプログラムファイルに、AIによる処理の痕跡がそのまま残されていたといいます。具体的には、AIがコードを出力する際に出力する安全上の免責事項（警告文）や、AIがコードを移植する過程での「思考の連鎖（Chain-of-thought）」による内部的な推論の過程が、ソースコードのコメント欄にそのまま書き残されていました。コメントには、AIによる自己修正や、開発者を指す「ユーザー」への言及も含まれていました。

しかし、AIの支援があったにもかかわらず、分析されたサンプルプログラムに組み込まれていた機能のいくつかは、正しく動作していないことが確認されました。研究チームは、開発者がプログラムを手動で精査（レビュー）していればこれらのエラーを解決できたはずだと指摘しており、既に実環境では不具合を修正した、より精度の高い改良版が稼働している可能性についても注意を促しています。

高度なマルチコンポーネント構造

「TuxBot v3 Evolution」は、非常に組織的かつ多機能な構成となっています。このフレームワークには、ARM、MIPS、MIPSEL、MIPS64、x86_64、PowerPC、RISC-Vといった幅広いCPU（中央処理装置）向けにクロスコンパイルされたC言語製のボットエージェントや、DDoS攻撃（大量の通信データを送って標的のシステムを機能停止させる攻撃）の代行サービス用管理画面を備えたGo言語製のC2（指令・制御：攻撃者が乗っ取った機器に指示を送る指令サーバー）サーバーが含まれています。さらに、脆弱性（セキュリティ上の弱点や欠陥）をテストするためのカスタム仮想マシン、Dockerを用いたテスト環境、自動構築システムなども同梱されていました。

侵入手法とサーバー間の通信機能

このボットエージェントは、あらかじめ用意された1,496通りのユーザー名とパスワードの組み合わせを使い、Telnet（遠隔操作用のネットワークプロトコル）でログインを試みる総当たり（ブルートフォース）攻撃を実行します。また、30種類以上のIoTデバイス製品群を狙った、既知の脆弱性を悪用する攻撃コードも搭載されています。

C2サーバーとの通信には暗号化（第三者に解読されないようデータを変換すること）されたTCP接続を使用しますが、検知や遮断を逃れるための多様なバックアップ機能も有しています。これには、SHA512暗号ハッシュを用いたDGA（接続先ドメインを自動生成する手法）のほか、Ed25519という電子署名を用いたP2P（サーバーを介さず端末間で直接やり取りする方式）プロトコル、チャット規格のIRC、DNS TXTレコードの照会、HTTPポーリングなどが含まれます。

C2サーバーは、ボットへ指令を送るための暗号化通信用ポート（TCP 1999または31337）、管理者が操作するためのSSH用のインタラクティブシェルポート（TCP 2222）、プログラム同士が連携するためのJSONインターフェース用ポート（TCP 9999）の3つのポートを使い分けています。

起源と詳細な内部動作

このマルウェアは、「Mirai」「AISURU」「Wuhan」という3つの著名なボットネットの系譜を受け継いでおり、オープンソースのDDoSツール「MHDDoS」の一部機能も移植されています。VirusTotal（不審なファイルを分析するサービス）には2026年1月20日に初めてサンプルが登録され、半年以上前から存在していました。開発自体はさらにその1年前、開発者がGitHubからMHDDoSのデータを複製した時期から始まっていたとみられます。

感染したデバイス上で実行されると、まず解析ツールを検出して動作を止める「アンチデバッグ」や「アンチVM（仮想マシン）」などの自己防衛機能を作動させます。その後、自身のプロセス名を隠し、デバイスに常駐（再起動後も自動で起動する設定）するための仕組みをインストールします。続いて、Telnet、SSH、HTTP、そしてAndroid Debug Bridge（開発用の接続規格）をスキャンするモジュールを起動し、DDoS攻撃、競合するマルウェアプロセスの終了、プロキシサーバーの構築、暗号通貨マイニング用プログラムの準備などを進めます。