Sicherheitsexperten warnen vor einer neuen, technologisch hochgerüsteten Version des Kimwolf-Botnetzes. Die nun identifizierte Version v7 zielt gezielt auf Android-TV-Boxen ab und nutzt fortschrittliche Techniken, um Entdeckungsmechanismen zu umgehen. Besonders die Imitation von legitimem Nutzerverhalten und eine verschleierte Infrastruktur machen die Malware zu einer ernstzunehmenden Bedrohung für die digitale Infrastruktur.
Gezielte Infektion über ungesicherte Schnittstellen
Die Entwickler von Kimwolf v7 haben ihre Strategie zur Verbreitung der Schadsoftware angepasst. Das Botnetz konzentriert sich primär auf Android-TV-Boxen, die über das Internet erreichbar sind. Als Einfallstor dient dabei die Android Debug Bridge (ADB), eine Schnittstelle, die üblicherweise für Entwicklungs- und Diagnosezwecke genutzt wird. Die Infektion erfolgt spezifisch über den Port 5555.
Auffällig ist eine strukturelle Änderung im Vergleich zu früheren Varianten: Die internen Scan- und Brute-Force-Funktionen wurden aus dem primären Schadcode entfernt.
Anstatt selbst nach neuen Opfern zu suchen, greift Kimwolf v7 nun auf externe Loader zurück. Diese spezialisierten Programme übernehmen den ersten Schritt der Infektion, bevor die eigentliche Bot-Komponente nachgeladen wird. Dieser modulare Aufbau erschwert die Analyse durch Sicherheitssysteme, da die bösartigen Aktivitäten auf verschiedene Komponenten verteilt sind.
Angesichts immer komplexerer Bedrohungen für Android-basierte Systeme wird der Schutz privater Endgeräte zur Grundvoraussetzung für sicheres Surfen. Dieser kostenlose PDF-Ratgeber zeigt Ihnen in fünf einfachen Schritten, wie Sie Ihr Gerät wirksam gegen Hacker und Viren absichern. 5 sofort umsetzbare Schutzmaßnahmen entdecken
Tarnung durch HTTP/2 und Browser-Fingerprints
Eine der gefährlichsten Neuerungen der Version v7 betrifft die Durchführung von Distributed-Denial-of-Service-Angriffen (DDoS). Das Botnetz nutzt das moderne HTTP/2-Protokoll, um Webserver mit Anfragen zu überfluten. Um dabei nicht von automatisierten Schutzsystemen blockiert zu werden, setzt Kimwolf auf eine detaillierte Nachahmung menschlicher Interaktionen.
Durch den Einsatz von Browser-Fingerprints imitiert das Botnetz das Profil echter Webbrowser. Die resultierenden Datenströme sind für Sicherheitslösungen kaum von gewöhnlichem Surfverhalten legitimer Nutzer zu unterscheiden.
Diese Methodik zielt darauf ab, volumenbasierte Filter zu umgehen, die normalerweise bei massiven DDoS-Angriffen greifen. Die Angreifer haben die verfügbaren DDoS-Befehle in dieser Version zudem gestrafft und auf insgesamt 15 nummerierte Methoden reduziert, was auf eine stärkere Spezialisierung und Effizienzsteigerung hindeutet.
Verschleierte Kommunikation über ENS und Tor
Auch bei der Steuerung der infizierten Geräte (Command and Control, C2) setzen die Hintermänner auf Anonymisierung. Die Kommunikation zwischen den infizierten Android-Geräten und den Kontrollservern wird über den Ethereum Name Service (ENS) sowie über das Tor-Netzwerk abgewickelt.
ENS ermöglicht es, dezentrale Domainnamen zu nutzen, die auf der Blockchain basieren und somit resistent gegen klassische Abschaltungen (Takedowns) sind. Die zusätzliche Kapselung im Tor-Netzwerk verbirgt den tatsächlichen Standort der Steuerungsserver.
Wer sich mit der Sicherheit seiner Android-Geräte befasst, sollte auch das Thema Systemaktualisierungen nicht dem Zufall überlassen. Erfahren Sie in diesem kostenlosen Report, wie Sie durch die richtigen Updates Sicherheitslücken schließen und Malware dauerhaft verhindern. Kostenlosen Android-Sicherheits-Ratgeber herunterladen
Das Kimwolf-Botnetz ist in verschiedenen Ausprägungen bereits seit Mitte 2024 aktiv. Die kontinuierliche Weiterentwicklung hin zur Version v7 verdeutlicht, dass die Akteure ihre Ressourcen verstärkt in die Umgehung moderner Abwehrmechanismen investieren.
Besitzer von Android-TV-Hardware sollten daher sicherstellen, dass ADB-Schnittstellen nicht ungeschützt für das öffentliche Netz freigegeben sind, um eine Kompromittierung durch diese spezialisierte Schadsoftware zu verhindern.
