TL;DR — das Wichtigste in 20 Sekunden:
- Unit 42 hat mit TuxBot v3 Evolution ein IoT-Botnetz seziert, dessen Code sichtbar mit LLM-Hilfe geschrieben wurde.
- Der Entwickler vergaß, den KI-Warnhinweis zu löschen: 61 Quelldateien tragen den Header „for educational and authorized security research only“.
- Das Botnetz zielt auf 17 Prozessor-Architekturen und ist für DDoS-Angriffe gebaut — Samples kursieren seit Januar.
- Viele Funktionen sind fehlerhaft — gefährlich für schlecht gesicherte Router, Kameras und NAS ist es trotzdem.
Diese Geschichte ist Comedy und Warnung zugleich: Sicherheitsforscher von Palo Altos Unit 42 haben ein neues IoT-Botnetz auseinandergenommen — und dabei den wohl peinlichsten Beweis dafür gefunden, dass Kriminelle ihre Schadsoftware inzwischen von KI schreiben lassen.
61 Dateien, ein peinlicher Header
Das Framework heißt TuxBot v3 Evolution. Die KI hat den Botnetz-Code brav wie bestellt geliefert — inklusive Sicherheits-Disclaimer. Und der Entwickler? Hat ihn vergessen zu löschen. In 61 C-Quelldateien steht identisch der Hinweis: „this code is for educational and authorized security research only“. Ausgeliefert wurde das Ganze trotzdem — ohne eine einzige Zeile zu entfernen.
Noch besser: Auch die rohen Denkprotokolle des Sprachmodells blieben als Kommentare im Code stehen. Perlen wie „// I created them so I should know?“ und „// Wait, where is the command?“ dokumentieren wortwörtlich, wie sich die KI beim Schreiben selbst befragte.
Was das Botnetz kann
Lachen allein wäre trotzdem die falsche Reaktion. TuxBot v3 ist auf 17 Prozessor-Architekturen kompiliert — von x86 bis zu exotischen ARM- und MIPS-Varianten, wie sie in Routern, IP-Kameras und NAS-Geräten stecken. Ziel ist der Aufbau eines DDoS-Netzes aus gekaperten Geräten. Mindestens ein Sample wurde bereits am 20. Januar 2026 bei VirusTotal hochgeladen — die Familie ist also seit über einem halben Jahr aktiv in Entwicklung.
Halb fertig, trotzdem gefährlich
Unit 42 fand etliche Funktionen, die schlicht nicht funktionieren — die KI hat Fähigkeiten versprochen, die der Code nicht einlöst. Das ist die gute Nachricht. Die schlechte: Selbst fehlerhafte Botnetze finden genug Opfer, weil Millionen IoT-Geräte mit Standard-Passwörtern und uralter Firmware im Netz hängen. Und die nächste Version kommt bestimmt — LLMs senken die Einstiegshürde für Malware-Entwicklung dramatisch, auch für Leute ohne echtes Können.
So schützt du deine Geräte
Die Klassiker wirken auch gegen KI-Pfusch: Standard-Passwörter ändern (Router, Kameras, NAS — alles), Firmware-Updates automatisch einspielen lassen, Fernzugriff und UPnP deaktivieren, wenn du sie nicht brauchst, und IoT-Geräte in ein eigenes VLAN oder Gäste-Netz sperren. Was nicht aus dem Internet erreichbar ist, kann kein Botnetz rekrutieren.
Häufige Fragen
Was ist TuxBot v3 Evolution?
Ein IoT-Botnetz-Framework, das laut Palo Altos Unit 42 sichtbar mit Hilfe eines großen Sprachmodells entwickelt wurde. Es zielt auf 17 Prozessor-Architekturen und dient DDoS-Angriffen.
Woran erkennt man die KI-Herkunft?
61 Quelldateien tragen einen identischen, nicht entfernten KI-Sicherheitshinweis, und die Denkprotokolle des Modells stehen als Kommentare im Code.
Ist TuxBot eine akute Gefahr für mich?
Für gepflegte, gepatchte Geräte hinter einer Firewall kaum. Gefährdet sind IoT-Geräte mit Standard-Passwörtern, alter Firmware oder offenem Fernzugriff.
Werden Botnetze durch KI schlimmer?
Die Einstiegshürde sinkt: Auch Akteure ohne tiefes Können erzeugen jetzt lauffähige Malware. Qualität und Tarnung dürften mit jeder Generation besser werden — umso wichtiger sind Basics wie Updates und Netz-Segmentierung.