Ботнет для Android под названием Kimwolf, связанный с ботнетом Aisuru IoT и созданный с использованием NDK (Native Development Kit), смог захватить 1,8 миллиона устройств, отправив более 1,7 млрд. команд в рамках DDoS-атак.
Обнаружили новинку исследователи китайской QiAnXin XLab, отмечая широкий функуционал ботнета: реализация прокси-серверов, обратной оболочки и управления файлами.
По данным XLab, Kimwolf в основном специализируется на проксировании трафика, но, как было замечено, в период с 19 по 22 ноября он отдал более 1,7 миллиарда команд для DDoS-атак.
В общей сложности поддерживает 13 методов DDoS-атак по протоколам UDP, TCP и ICMP.
Это позволило его домену С2 14emeliaterracewestroxburyma02132[.]su занять первое место в глобальном рейтинге популярности доменов Cloudflare, обогнав google.com.
По данным компании, вредоносное ПО использует протокол DNS over TLS (DoT) для инкапсуляции DNS-запросов и обхода обнаружения, а также механизм проверки подписи для подтверждения инструкций связи.
Kimwolf в основном нацелен на телевизионные приставки Android TV, используемые в домашних сетях, при этом зараженные устройства распространены более чем в 220 странах.
При этом наибольшая концентрация - в Бразилии, Индии, США, Аргентине, Южной Африке и на Филиппинах.
Среди затронутых моделей устройств - TV BOX, SuperBOX, HiDPTAndroid, P200, X96Q, XBOX, SmartTV и MX10.
Однако точный механизм распространения вредоносного ПО на эти устройства в настоящее время неясен.
Сама вредоносная ПО довольно проста.
После запуска она гарантирует, что на зараженном устройстве будет работать только один экземпляр процесса, а затем расшифровывает встроенный домен C2, использует DNS-over-TLS для получения IP-адреса C2 и подключается к нему для получения и выполнения команд.
Из-за динамических механизмов распределения IP-адресов и глобального распространения зараженных устройств фактический размер ботнета остается неизвестным.
По данным XLab, домены С2, связанные с ботнетом, как минимум трижды выводились из строя третьими лицами, что вынудило разработчиков усилить защиту инфраструктуры, используя домены ENS (Ethereum Name Service).
XLab инциировала расследование в отношении ботнета после того, как 24 октября 2025 года она получила от доверенного партнера из сообщества артефакт «версии 4» Kimwolf.
С тех пор, по состоянию на прошлый месяц, было обнаружено еще восемь образцов.
Предполагается, что злоумышленники использовали код AISURU на ранних этапах, прежде чем решили разработать ботнет Kimwolf, чтобы избежать обнаружения.
Эти два крупных ботнета распространялись с помощью одних и тех же скриптов заражения в период с сентября по ноябрь, сосуществуя в одной и той же партии устройств.
Они фактически принадлежат одной и той же хакерской группе.
Оценка основана на сходстве APK-пакетов, загруженных на платформу VirusTotal, в некоторых случаях даже с использованием одного и того же сертификата подписи кода (John Dinglebert Dinglenut VIII VanSack Smith).
Дополнительные убедительные доказательства появились 8 декабря 2025 года с обнаружением активного сервера загрузки (93.95.112[.]59), содержащего скрипт, ссылающийся на APK-файлы как Kimwolf, так и AISURU.
По мнению исследователей, ботнет был причастен как минимум к двум крупномасштабным DDoS-атакам, включая инцидент с мощностью почти 30 Тбит/с, о котором сообщалось ранее в этом месяце.
Хотя многочисленные масштабные DDoS-атаки в последнее время были приписаны Aisuru, XLab считает, что именно Kimwolf мог быть ведущим ботнетом в этих инцидентах.
