Kimwolf v7: Ameaça de Botnet IoT Evolui com Ataques HTTP/2 e C2 Resiliente

A Kimwolf v7 é uma versão aprimorada de uma botnet IoT já conhecida, agora focada em dispositivos Android TV e set-top boxes, explorando interfaces ADB (Android Debug Bridge) sem autenticação. Uma vez que os aparelhos são comprometidos, a botnet os utiliza para orquestrar ataques de inundação HTTP/2. O diferencial aqui é a sofisticação: ela emprega técnicas de falsificação de impressões digitais de navegadores, tornando o tráfego malicioso muito difícil de ser distinguido do legítimo.

Sua infraestrutura de comando e controle (C2) opera em três camadas para máxima resiliência. Primeiro, usa o Ethereum Name Service (ENS) para resolver endereços C2, abusando de serviços RPC públicos de Ethereum. Como fallback, conta com um serviço oculto Tor (.onion). Toda a comunicação C2 passa por um sistema de roteamento de proxy local, garantindo flexibilidade e resistência a takedowns. O malware disfarça seu processo como 'netd_service' para evitar detecção.

A Kimwolf v7 mostra uma evolução clara em relação às versões anteriores. Operadores consolidaram os métodos de ataque, focando em 15 técnicas de DDoS e removendo funcionalidades de varredura e exploração. Isso sugere uma separação entre a fase de propagação e o ataque em si, com carregadores externos cuidando do acesso inicial. Além disso, a botnet abandonou a rede I2P, que foi sobrecarregada em fevereiro de 2026, em favor de uma arquitetura C2 de três camadas mais robusta, combinando ENS, Tor e um proxy local, uma resposta direta a esforços de takedown de servidores C2 em dezembro de 2025. Houve também uma transição do foco inicial em dispositivos Linux x86 para Android TV boxes, utilizando a técnica de ADB sem autenticação para infecção.

Esta nova versão da Kimwolf é um alerta urgente para a cibersegurança de dispositivos IoT e Android. A capacidade de ataques HTTP/2 com falsificação de impressão digital do navegador dificulta enormemente a detecção e mitigação, mascarando o tráfego malicioso como legítimo. A arquitetura C2 multicamadas com ENS e Tor é um desafio para as equipes de segurança, pois torna a botnet extremamente resiliente a tentativas de desmantelamento.

Para empresas e usuários, isso significa a necessidade de ações imediatas: restringir o acesso ADB, monitorar processos suspeitos como 'netd_service' e vigiar anomalias em consultas Ethereum RPC. Ignorar essas ameaças coloca a infraestrutura em risco de DDoS massivos e persistentes, comprometendo a disponibilidade de serviços e a integridade da rede.