Kimwolf v7 tăng cường khả năng DDoS trên Android và IoT
"Researchers identified Kimwolf v7, a new Android and IoT botnet variant that improves DDoS capability and operational resilience. It adds HTTP/2 floods with realistic browser fingerprints, tiered C2 resolution via ENS and a hard-coded Tor onion service, while removing scanning and brute-force modules; the recommended mitigation is to disable or restrict ADB and segment Android TV boxes from enterprise networks."
Nguy cơ DDoS quy mô lớn tăng lên do lưu lượng được ngụy trang tốt hơn; hạ tầng C2 có khả năng chống gỡ bỏ cao hơn; thiết bị Android TV box là điểm xâm nhập chính cần kiểm soát.
Có thể gây gián đoạn dịch vụ mạng và tiêu tốn băng thông; nếu thiết bị đầu cuối bị lây nhiễm, tổ chức có thể đối mặt với rủi ro lan rộng nội bộ và chi phí xử lý sự cố.
Các nhà nghiên cứu bảo mật đã phát hiện biến thể mới của botnet Kimwolf/AISURU trên Android và IoT, được theo dõi với tên Kimwolf v7. Mẫu này tập trung vào việc tăng khả năng DDoS và nâng độ bền vận hành của hạ tầng điều khiển.
Điểm đáng chú ý là Kimwolf v7 bổ sung tấn công HTTP/2 flood với browser fingerprint đầy đủ, khiến lưu lượng tấn công khó phân biệt hơn với truy cập hợp lệ. Botnet cũng dùng cơ chế C2 nhiều lớp: truy vấn Ethereum Name Service (ENS) để lấy địa chỉ điều khiển, có Tor .onion dự phòng được mã hóa sẵn trong binary, và chuyển tiếp lưu lượng qua proxy cục bộ 127.0.0.1:23075.
So với các phiên bản trước, mẫu mới đã loại bỏ các mô-đun scan, exploitation và brute-force, cho thấy chuỗi lây nhiễm có thể đã được tách ra khỏi payload chính. Nhóm vận hành vẫn nhắm vào Android TV box có ADB bật sẵn trên cổng 5555, đồng thời ngụy trang tiến trình để tránh bị phát hiện.
Khuyến nghị kỹ thuật là tắt hoặc giới hạn ADB, chỉ cho phép USB-only nếu cần, và phân đoạn Android TV box khỏi mạng doanh nghiệp để giảm nguy cơ lây nhiễm và sử dụng làm điểm phát tán DDoS.