🔍 Contexte

Analyse publiée le 25 août 2026 par Joe Security (Joe Reverser) portant sur ToxNetV2, un botnet Linux AArch64 peer-to-peer intégrant un LLM (Large Language Model) dans la boucle de décision de son contrôleur. Il s’agit d’une analyse technique approfondie de reverse engineering.

🤖 Architecture et fonctionnement

Le même binaire ToxNetV2 peut opérer en mode contrôleur ou en mode bot ordinaire selon la présence d’un fichier d’état Tox (c2.data). Seul le contrôleur exécute la boucle de revue IA automatisée.

La chaîne opérationnelle est la suivante :

  • Télémétrie (état des processus, charge système, mémoire, disque, compteurs botnet)
  • → Envoi au LLM via NVIDIA NIM (modèle z-ai/glm-5.2)
  • → Parsing des réponses en enregistrements ACTION: structurés
  • → File d’attente soumise à validation opérateur
  • → Exécution via la commande aiexec

Les prompts embarqués incluent un jailbreak explicite nommé ENI/VEIL destiné à supprimer les refus du modèle.

⚙️ Actions structurées disponibles

Les actions générées par le LLM couvrent :

  • shell_cmd : exécution locale de commandes shell
  • write_file : création/écrasement de fichiers locaux
  • ssh_check : exécution distante en root via SSH
  • compile_deploy : workflow de cross-compilation local
  • log, alert, kv_memory, set_kv, weight_task, restart_worker

🌐 Infrastructure

Le malware embarque 25 nœuds Tox bootstrap/relay dont 23 correspondent à l’infrastructure publique Tox. Deux enregistrements pointent vers 45.130.151[.]214, également utilisé comme cible SSH root codée en dur dans le sous-système IA — infrastructure considérée comme actor-controlled.

Les chemins de propagation HTTP/Telnet tentent de récupérer et exécuter un script shell depuis 45.151.139[.]113.

🛡️ Capacités offensives

  • 17 lanceurs d’attaques réseau (TCP SYN flood, UDP flood, TCP ACK, RakNet, OpenVPN, etc.)
  • Scanners HTTP, Telnet, SSH
  • Auto-propagation exploitant 14+ CVEs (CVE-2018-10561/10562, CVE-2014-8361, CVE-2017-17215, CVE-2022-30525, CVE-2021-36260, CVE-2024-3272/3273, etc.)
  • Wiper destructif (brick)
  • Process killer et locker

🔒 Limites d’autonomie

ToxNetV2 n’est pas autonome ni auto-modifiant : aucune boucle complète d’écriture, compilation et déploiement automatique de nouveau code malveillant n’a été identifiée. L’opérateur reste le point d’approbation final pour les actions à fort impact.

📄 Type d’article

Analyse technique de reverse engineering publiée par Joe Security, visant à documenter une innovation malveillante — l’intégration d’un LLM dans la boucle de contrôle d’un botnet — avec extraction complète des IOCs, commandes et CVEs exploitées.

🧠 TTPs et IOCs détectés

TTP

  • T1059.004 — Command and Scripting Interpreter: Unix Shell (Execution)
  • T1105 — Ingress Tool Transfer (Command and Control)
  • T1021.004 — Remote Services: SSH (Lateral Movement)
  • T1498 — Network Denial of Service (Impact)
  • T1190 — Exploit Public-Facing Application (Initial Access)
  • T1543 — Create or Modify System Process (Persistence)
  • T1485 — Data Destruction (Impact)
  • T1071.001 — Application Layer Protocol: Web Protocols (Command and Control)
  • T1584 — Compromise Infrastructure (Resource Development)
  • T1027 — Obfuscated Files or Information (Defense Evasion)

IOC

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 26 août 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

Malware / Outils

  • ToxNetV2 (botnet)

🟢 Indice de vérification factuelle : 67/100 (haute)

  • ⬜ joesecurity.org — source non référencée (0pts)
  • ✅ 16667 chars — texte complet (fulltext extrait) (15pts)
  • ✅ 20 IOCs (IPs/domaines/CVEs) (10pts)
  • ✅ 2/3 IOCs confirmés (AbuseIPDB, ThreatFox, URLhaus, VirusTotal) (12pts)
  • ✅ 10 TTPs MITRE identifiées (15pts)
  • ✅ date extraite du HTML source (10pts)
  • ⬜ aucun acteur de menace nommé (0pts)
  • ✅ 5/5 CVE(s) confirmée(s) (CIRCL) (5pts)

IOCs confirmés externellement :

  • 45.130.151.214 (ip) → VT (7/91 détections)
  • 45.151.139.113 (ip) → AbuseIPDB (100% confiance, 183 signalements) + VT (10/91 détections)

🔗 Source originale : https://joesecurity.org/blog/6764463444623599134