Investigadores de ciberseguridad alertaron sobre una nueva iteración de un botnet que afecta principalmente a dispositivos de consumo conectados a Internet. Se trata de Kimwolf v7, una versión mejorada del malware asociado a Kimwolf/AISURU, que incorpora cambios orientados a aumentar su resiliencia operativa y a ejecutar ataques de denegación de servicio distribuida (DDoS) de manera más difícil de distinguir del tráfico normal.
Según el equipo de investigación de Palo Alto Networks Unit 42, Kimwolf v7 apareció de forma observada en febrero de 2026. Lo distintivo de la versión es su capacidad para generar tráfico con características propias de la navegación legítima, especialmente a través de un enfoque basado en HTTP/2.
Qué hace diferente a Kimwolf v7
El rasgo más relevante es que Kimwolf v7 añade un flood basado en HTTP/2. En lugar de limitarse a generar solicitudes genéricas, el malware construye huellas completas del navegador, buscando reflejar el comportamiento de navegadores reales tanto a nivel de protocolo como de cabeceras.
Este enfoque tiene un objetivo claro: hacer que el tráfico del ataque sea más complejo de separar del browsing legítimo. En un contexto de monitoreo tradicional, donde muchos sistemas dependen de patrones reconocibles, imitar la forma “correcta” de hablar HTTP puede retrasar la respuesta ante un pico de actividad maliciosa.
HTTP/2 y huellas del navegador: el DDoS más “disfrazado”
De acuerdo con los hallazgos, las solicitudes del flood HTTP/2 se apoyan en la biblioteca nghttp2. Además, el malware intenta replicar detalles del tráfico del navegador, de forma que los indicadores a simple vista sean menos evidentes.
En términos prácticos, esto significa que, aunque el resultado final sea una saturación causada por DDoS, el “cómo” del ataque se parece más al “cómo” de un cliente web normal. Para los equipos de seguridad y operaciones, el reto pasa a ser detectar la intención maliciosa aun cuando la sintaxis del protocolo se vea correcta.
C2 más resistente: cómo el botnet busca seguir funcionando
Además del cambio en el motor del DDoS, Kimwolf v7 trabaja para dificultar la eliminación del sistema de mando y control (C2). Los investigadores describen un esquema escalonado para obtener la dirección de C2 y para enrutar el tráfico.
El método combina:
- Ethereum Name Service (ENS) para consultar registros de dominios y resolver direcciones de C2 mediante servicios RPC públicos.
- Una hidden service de Tor con un identificador en formato “.onion” que viene integrado de forma fija en el binario.
- Un proxy local que enruta el tráfico C2, tanto si el destino es clearnet como si el destino es Tor.
Los hallazgos también indican que Kimwolf v7 elimina funcionalidades de escaneo, explotación y fuerza bruta. Este recorte sugiere un cambio en la estrategia: separar el componente de propagación del componente principal, delegando la entrada inicial a un cargador externo, mientras que el binario de Kimwolf v7 se centra en ejecutar DDoS y en el relevo del tráfico.
Menos módulos de ataque, más enfoque en el payload
La retirada de módulos de escaneo y explotación llama la atención porque cambia la arquitectura general. En lugar de que una sola pieza del malware se encargue de buscar víctimas, aprovechar vulnerabilidades y lanzar el ataque, la operación parece dividir responsabilidades.
En esta línea, el equipo observó que todos los comandos de DDoS se consolidaron en 15 métodos numerados, en comparación con 43 métodos con nombres de texto presentes en versiones anteriores. Este tipo de reorganización puede reducir ruido, simplificar implementación o dificultar el análisis comparativo.
Objetivos: Android TV y dispositivos IoT
Desde agosto de 2025, Kimwolf se ha asociado con ataques dirigidos a cajas Android TV que exponen Android Debug Bridge (ADB) en redes locales. En los hallazgos, se menciona el uso del puerto 5555 con ADB habilitado, lo que abre una vía de propagación.
La familia también se relaciona con un componente Linux llamado AISURU, orientado principalmente a dispositivos IoT basados en Linux. Según los reportes, el botnet está activo al menos desde mediados de 2024.
En la práctica, los operadores aprovechan infraestructura de proxies residenciales para alcanzar los dispositivos, y luego instalan malware capaz de ejecutar DDoS y funcionar como un relé para transportar tráfico malicioso.
Propagación mediante ADB y “plantado” de proceso
Cuando el malware se ejecuta, intenta pasar por procesos del sistema para reducir sospechas. Los investigadores mencionan ejemplos de nombres de proceso observados, como “netd_service”, usados como camuflaje.
Además, se reporta que Kimwolf v7 distribuye paquetes APK que aparentan ser un servicio del sistema llamado SystemService. En ese proceso, el malware verifica si tiene privilegios de root, y posteriormente ejecuta un payload tipo ELF empaquetado dentro de la aplicación.
Entre octubre y diciembre de 2025 se identificaron ocho artefactos APK correspondientes a esta estrategia de despliegue.
Del abuso tradicional hacia ADB en Android
Uno de los puntos adicionales del reporte se centra en la evolución del linaje. El material más temprano observado, dirigido a arquitectura x86 e involucrando un exploit de Dirty COW, sugiere que la familia migró desde técnicas de explotación en Linux hacia un modelo actual basado en propagación por ADB en Android.
Los investigadores también señalan cambios de nombre de bibliotecas durante 2025, interpretados como ajustes de seguridad operativa: por ejemplo, el tránsito desde un nombre tipo libn[redacted]kernel.so hacia otro menos llamativo (libdevice.so), seguido por un retorno en diciembre.
Detalles técnicos observados en Kimwolf v7
Entre las capacidades nuevas o destacadas, el reporte incluye:
- Una función de flood UDP de alto rendimiento que apunta específicamente a procesadores ARM típicos de cajas Android TV.
- Un diseño de proxy que enruta el tráfico a través de 127.0.0.1:23075, independientemente de si el destino final es clearnet o Tor.
- Mecanismo de respaldo C2 mediante la hidden service de Tor con un identificador “.onion” fijo en el binario.
- Uso de servicios públicos RPC de Ethereum para resolver registros vinculados a ENS y obtener direcciones de C2.
En conjunto, estas piezas muestran una intención de reducir interrupciones: si un canal falla, el malware puede pivotar hacia otro, y si el objetivo es detectar el ataque por patrones de red, la capa HTTP/2 apunta a confundir esos análisis.
Qué pueden hacer las organizaciones
Unit 42 recomienda medidas concretas enfocadas en el tipo de dispositivo afectado. Su recomendación principal es tratar las cajas Android TV como dispositivos no confiables y segmentarlas desde redes empresariales.
Asimismo, proponen reducir el vector de propagación: deshabilitar ADB o restringirlo únicamente a acceso por USB. Dado que ADB habilitado en redes locales facilita la llegada del malware, estas acciones atacan el punto de entrada, no solo el impacto del DDoS.
Un contexto más amplio: más botnets, más formas de ataque
El informe se publica en un periodo en el que también se detectaron otras familias de malware asociadas con botnets y DDoS. Entre los ejemplos mencionados se encuentran:
- AryStinger, que incorpora routers domésticos antiguos y vulnerables para reconocimiento distribuido y reenvío de tráfico.
- RustDuck, que toma control de routers, cámaras IP, cajas Android y servidores mal protegidos para integrarlos en redes de ataque.
- NadMesh, una plataforma autónoma que combina escaneo, explotación y recopilación de inteligencia, incluyendo intentos de acceso a servicios y recolección de credenciales y configuraciones.
- Tengu, un malware derivado de Mirai que usa fuerza bruta por Telnet para secuestrar dispositivos IoT y ejecutar acciones que van desde persistencia hasta descargas de payloads.
Esto refuerza una idea: la superficie de ataque se amplía y el abuso de dispositivos “domésticos” o de red mal protegida sigue siendo una vía frecuente para construir redes distribuidas.
Conclusión
Kimwolf v7 representa una evolución orientada a la efectividad y a la continuidad operativa. El botnet incorpora un DDoS basado en HTTP/2 que busca imitar la navegación legítima mediante huellas completas del navegador, mientras fortalece su infraestructura de mando y control con un enfoque escalonado que combina ENS, Tor y un proxy local.
Para reducir el riesgo, la recomendación práctica se centra en el control del acceso: segmentar dispositivos como Android TV y limitar o desactivar ADB puede cortar la propagación y disminuir la probabilidad de que estos nodos terminen participando en ataques.
Fuente: https://thehackernews.com/2026/08/kimwolf-v7-android-botnet-makes-http2.html
