Une évolution majeure du botnet Kimwolf/AISURU
Les chercheurs de l'unité Unit 42 de Palo Alto Networks ont publié le 11 août 2026 une analyse détaillée d'une nouvelle version du botnet Kimwolf, également connu sous le nom d'AISURU. Tracked comme Kimwolf v7, cette version introduit des capacités d'attaque DDoS nettement plus furtives et une infrastructure de command-and-control (C2) conçue pour résister aux démontages.
Découverte le 3 février 2026 lors d'une opération de threat hunting menée suite aux divulgations publiques de XLab, Synthient, Infoblox et Cloudflare, cette variante frappe par sa sophistication accrue. Selon les chercheurs Asher Davila, Chris Navarrete et Doel Santos, « Kimwolf v7 ajoute un flood DDoS basé sur HTTP/2 qui construit des empreintes de navigateur complètes. Cela rend le trafic d'attaque plus difficile à distinguer d'une navigation légitime. »
Un botnet qui cible les box Android TV depuis 2025
Le botnet Kimwolf est actif depuis au moins août 2024, où il ciblait initialement les appareils IoT Linux sous le nom d'AISURU. À partir d'août 2025, les opérateurs ont pivoté vers les box Android TV et set-top boxes sous le nom de Kimwolf, reflétant deux codebases distinctes gérées par les mêmes opérateurs : AISURU pour les variantes Linux IoT, Kimwolf pour les variantes Android.
Le vecteur de propagation principal exploite les services de proxy résidentiel pour atteindre des instances Android Debug Bridge (ADB) non authentifiées sur les réseaux locaux. De nombreuses box Android TV sont livrées avec ADB activé sur le port 5555, permettant aux attaquants, une fois tunnelés via un proxy dans le réseau local, d'installer le malware sans aucune authentification.
La technique la plus inquiétante : l'empreinte de navigateur HTTP/2
La fonctionnalité la plus remarquable de Kimwolf v7 est son flood HTTP/2 propulsé par la bibliothèque nghttp2. La fonction attack_case17_http2_flood construit des en-têtes HTTP complets qui imitent le comportement d'un véritable navigateur Chrome, au niveau du protocole et des en-têtes. Cette technique complique considérablement la détection par les systèmes de mitigation DDoS applicatifs, car le trafic d'attaque devient quasi-indiscernable des requêtes de navigation normales.
Le binaire, compilé avec l'Android NDK via Clang, lie statiquement BoringSSL pour les opérations TLS et nghttp2 pour la fonctionnalité HTTP/2. À l'exécution, le malware masque son nom de processus en netd_service pour se fondre parmi les processus système Android légitimes.
Une infrastructure C2 à trois niveaux anti-démontage
L'infrastructure C2 de Kimwolf v7 a été repensée pour survivre aux opérations de takedown qui ont frappé le botnet à deux reprises en décembre 2025. Le système de résolution C2 s'articule autour de trois mécanismes complémentaires :
1. Résolution via Ethereum Name Service (ENS)
Le binaire contient cinq endpoints RPC Ethereum publics en clair :
0xrpc.io/etheth.llamarpc.comethereum-rpc.publicnode.cometh-protect.rpc.blxrbdn.cometh.merkle.io
Ces services légitimes sont détournés pour interroger des enregistrements de domaine ENS et résoudre l'adresse C2. Les endpoints sont mélangés via un générateur pseudo-aléatoire avant chaque tentative de résolution, rendant le blocage de cette technique particulièrement complexe.
Les chercheurs ont également identifié avec une confiance modérée un sixième endpoint probablement contrôlé par les opérateurs : eth.rpcuniverse.com. Ce domaine, enregistré le 9 décembre 2023 via Namecheap, présente des caractéristiques distinctives des services légitimes : aucune notoriété de trafic, une adresse IP unique sur un VPS low-cost, et une présence exclusive dans les binaires Kimwolf.
2. Service caché Tor de secours
En cas d'échec de la résolution ENS, le binaire bascule vers une adresse .onion v3 hardcodée (edctgwib2n5l34t525zkxqzk5bqb6e5il2yiq5r6zu7gtlxa4uosn3qd.onion). Une machine à états (tor_proxy_state_machine) gère le protocole SOCKS5 et le tunnel TLS vers ce service caché.
3. Proxy local modulaire
Tout le trafic C2 transite par un proxy local sur 127.0.0.1:23075, que la destination soit le clearnet ou Tor. Cette architecture modulaire permet de mettre à jour le composant proxy indépendamment du binaire principal du bot.
Un flood UDP optimisé pour les processeurs ARM
Kimwolf v7 implémente également une fonction de flood UDP haute performance spécialement optimisée pour les processeurs ARM équipant les box Android TV. Cette fonction utilise un générateur pseudo-aléatoire Xorshift256 initialisé depuis /dev/urandom et accélère le calcul des checksums IP/UDP via des instructions SIMD ARM NEON. La boucle vectorisée traite quatre mots de 16 bits simultanément à l'aide d'instructions VLD1.16, VADDW.U16 et VADD.I32, réduisant le coût par paquet pour maximiser le débit.
Arsenal DDoS consolidé : de 43 à 15 méthodes
Les versions précédentes de Kimwolf utilisaient 43 méthodes d'attaque nommées textuellement. La v7 les a consolidées en 15 méthodes numérotées couvrant les couches 3 à 7 du modèle OSI :
| Case | Fonction | Description |
|---|---|---|
| 0 | TCP socket flood | Flood TCP basé sur sockets |
| 3 | DNS flood | Flood de requêtes DNS |
| 5 | TCP SYN flood | Flood SYN TCP |
| 12 | UDP flood (NEON SIMD) | Flood UDP haute performance |
| 14 | ICMP flood | Flood ICMP |
| 16 | TLS/HTTPS flood | Flood TLS via BoringSSL |
| 17 | HTTP/2 flood | Flood HTTP/2 avec empreintes Chrome |
Les cases 8, 11 et 13 sont absentes, suggérant qu'elles sont soit réservées pour un usage futur, soit supprimées lors de la consolidation.
Séparation des rôles : propagation et attaque divisées
Un changement structurel majeur dans Kimwolf v7 est la suppression de tous les modules de scanning, d'exploitation et de brute-force. Cette décision indique que les opérateurs ont séparé le pipeline de propagation du payload principal : un loader externe gère désormais l'accès initial, tandis que le binaire Kimwolf se concentre sur les attaques DDoS et le relay proxy.
Cette spécialisation traduit une maturation opérationnelle : les développeurs du botnet ont compris qu'il était plus efficace de séparer les fonctions pour réduire la surface de détection du binaire principal.
Variants APK Android et évolution historique
Parallèlement aux payloads ELF autonomes, les opérateurs distribuent des packages APK Android qui masquent un payload ELF kernel à l'intérieur d'un wrapper Java. Huit échantillons APK ont été identifiés entre octobre et décembre 2025, tous partageant la classe systemservice0644.N[redacted]Kernel. Ces APK se déguisent en service SystemService, sondent l'accès root et exécutent le kernel ELF embarqué.
L'évolution historique de la famille est révélatrice :
- Le plus ancien échantillon (septembre 2025) cible l'architecture x86 et dépose un fichier
libcow.so, probablement en référence à la vulnérabilité d'élévation de privilèges Dirty COW (CVE-2016-5195) - En novembre 2025, le nom du kernel passe de
libn[redacted]kernel.soau plus discretlibdevice.so, avant de revenir en décembre — signe d'ajustements actifs de sécurité opérationnelle
Contexte : un record DDoS attribué à Kimwolf/AISURU
L'analyse de Unit 42 intervient dans un contexte où le botnet Kimwolf/AISURU a déjà fait parler de lui à grande échelle. Selon un rapport de Cloudflare publié le 11 août 2026 et présenté à la conférence Black Hat, l'entreprise a récemment mitigé une attaque record culminant à 31,4 Tbps et 200 millions de requêtes par seconde, attribuée au botnet AISURU/Kimwolf.
Ce rapport plus large de Cloudflare sur le premier semestre 2026 fait état de 23,2 millions d'attaques DDoS réseau et de 29 640 milliards de requêtes HTTP malveillantes mitigées. Les attaques dépassant 1 Tbps ont augmenté de 519 % entre le premier et le deuxième trimestre, passant de 130 à plus de 800 incidents.
Un paysage de botnets en pleine effervescence
Kimwolf v7 s'inscrit dans une vague plus large de nouvelles familles de malware botnet détectées ces derniers mois :
- AryStinger : enrôle d'anciens routeurs domestiques vulnérables pour la reconnaissance distribuée et le proxying
- RustDuck : détourne routeurs, caméras IP, box Android et serveurs mal sécurisés pour des attaques DDoS
- NadMesh : combine scanning, exploitation et collecte de renseignements sur des services IA (Redis, Docker, Kubernetes, Ollama, n8n, etc.) en une plateforme autonome
- Tengu : malware IoT dérivé de Mirai utilisant le brute-force Telnet
Recommandations et indicateurs de compromission
Unit 42 recommande aux organisations de surveiller plusieurs indicateurs comportementaux de compromission Kimwolf sur les appareils IoT et Android :
- Connexions HTTPS sortantes vers des endpoints RPC Ethereum publics depuis des appareils qui n'interagissent normalement pas avec des services blockchain
- Établissement de circuits Tor ou trafic proxy SOCKS5 depuis des box Android TV ou des appareils IoT
- Connexions au port 23075 en localhost
- Un processus nommé
netd_services'exécutant sur un appareil Android grand public
Les recommandations de mitigation incluent :
- Traiter les box Android TV comme non fiables et les segmenter des réseaux d'entreprise
- Désactiver ADB ou le restreindre à l'accès USB uniquement, ce qui élimine le principal vecteur de propagation
- Surveiller le trafic RPC Ethereum inhabituel plutôt que de bloquer systématiquement les endpoints légitimes
L'analyse de l'infrastructure C2 a également révélé que 22 adresses IP dans l'AS202799 (géolocalisées à Saint-Pétersbourg, Russie) partageaient la même clé hôte SSH entre décembre 2025 et février 2026, suggérant une infrastructure d'hébergement centralisée.
Conclusion
Kimwolf v7 représente une évolution ciblée d'un botnet déjà à grande échelle. La combinaison d'un flood HTTP/2 avec empreintes de navigateur Chrome, d'une infrastructure C2 à trois niveaux utilisant Ethereum ENS et Tor, et d'optimisations ARM spécifiques montre que les opérateurs investissent massivement dans la furtivité et la résilience. La séparation entre propagation et attaque reflète une professionnalisation croissante de l'écosystème des botnets IoT, où chaque composant est spécialisé pour maximiser l'efficacité tout en minimisant les risques de détection.
Avec une attaque record déjà attribuée à ce botnet et le paysage DDoS global en pleine intensification, la vigilance reste de mise face à ces menaces qui exploitent la prolifération d'appareils Android TV et IoT mal sécurisés.