Des chercheurs en cybersécurité ont mis au jour une nouvelle version d’un botnet ciblant des appareils Android et des objets connectés : Kimwolf v7. Ce botnet, associé notamment à des menaces de type Kimwolf et AISURU, se distingue par des améliorations visant à renforcer sa résilience opérationnelle et à lancer des attaques par déni de service distribué (DDoS) plus difficiles à distinguer du trafic réel.
Selon les informations partagées, cette évolution a été observée en février 2026 par l’équipe Unit 42 de Palo Alto Networks. L’attention des chercheurs se concentre en particulier sur une capacité : des floods DDoS basés sur HTTP/2, conçus pour reproduire des comportements typiques de navigateurs.
Kimwolf v7 : des attaques DDoS HTTP/2 qui imitent le navigateur
La nouveauté la plus marquante de Kimwolf v7 concerne l’ajout d’une fonctionnalité de flood en HTTP/2. D’après les chercheurs, l’attaque ne se limite pas à générer du trafic : elle construit des empreintes complètes de navigateur, au niveau des protocoles et des en-têtes, afin de mimer une navigation légitime.
Concrètement, le botnet s’appuie sur la bibliothèque nghttp2 pour piloter ces échanges. L’objectif est clair : rendre la distinction entre requêtes malveillantes et navigation normale plus complexe pour les équipes de sécurité et les mécanismes de filtrage.
Cette approche peut compliquer la tâche des solutions de détection basées uniquement sur des indicateurs de volumétrie ou de formats de requêtes trop génériques. En revanche, elle rend l’analyse comportementale et contextuelle d’autant plus importante.
Contrôle et communications : un C2 plus résistant
Les chercheurs indiquent aussi que Kimwolf v7 cherche à limiter l’impact des opérations de démantèlement. Pour cela, le botnet met en place un schéma à étages pour récupérer l’adresse de son infrastructure de commande et contrôle (C2).
Le mécanisme décrit combine plusieurs éléments :
- des requêtes à des services Ethereum RPC publics pour consulter des enregistrements via Ethereum Name Service (ENS) ;
- une adresse de service caché Tor (une instance .onion) intégrée en dur dans le binaire ;
- un proxy local pour router le trafic entre des réseaux accessibles en clair (clearnet) et Tor, selon le besoin.
Le binaire intégrerait notamment une .onion codée en dur : edctgwib2n5l34t525zkxqzk5bqb6e5il2yiq5r6zu7gtlxa4uosn3qd[.]onion. Cette redondance, couplée à l’usage d’ENS et d’un chemin réseau local, vise à réduire la fragilité du C2.
Moins de modules d’exploration et d’exploitation
Autre point notable : Kimwolf v7 retirerait des fonctions de scanning, d’exploitation et de brute-force. Les chercheurs interprètent ce changement comme un découplage entre la chaîne de propagation et la charge utile principale.
En clair, les développeurs auraient séparé le processus d’accès initial — potentiellement pris en charge par un chargeur externe — du binaire qui exécute les actions principales : attaque DDoS et relai via proxy.
Cette segmentation peut rendre la compréhension et la neutralisation du botnet plus difficiles, puisque l’ensemble des composants ne serait plus présent au même endroit ou au même stade.
Propagation : le rôle central de l’ADB sur Android TV
Les chercheurs relient Kimwolf v7 à un ciblage d’Android TV boxes observé depuis août 2025. La variante AISURU, quant à elle, viserait plutôt des appareils IoT basés sur Linux.
Le botnet agirait depuis au moins mi-2024, et s’appuierait fréquemment sur des services de proxy résidentiels pour atteindre les victimes. Le scénario typique mentionné implique que les appareils Android TV aient Android Debug Bridge (ADB) activé sur le réseau local, notamment avec un port 5555.
Une fois l’accès obtenu, le malware peut être installé sur l’appareil, puis utilisé pour lancer des attaques DDoS tout en assurant un relai de trafic malveillant.
Masquage de processus et architecture proxy
Pour passer sous le radar, les composants du botnet tenteraient de se présenter comme des processus système Android relativement plausibles. Les chercheurs citent un exemple de nom : netd_service.
Côté réseau, une architecture de proxy local serait utilisée pour faire transiter le trafic C2 via 127.0.0[.]1:23075, que la destination soit en clair ou via Tor. Cette abstraction locale peut faciliter le changement de trajectoire réseau sans exposer directement certains détails au niveau externe.
Fonctions d’attaque supplémentaires : UDP flood et optimisation ARM
Au-delà de HTTP/2, Kimwolf v7 intégrerait une fonction de UDP flood à haute performance. Les chercheurs précisent que cette fonctionnalité vise des processeurs ARM présents sur des Android TV boxes.
Le botnet regrouperait aussi l’exécution des commandes d’attaque dans un ensemble de 15 méthodes numérotées, contre 43 méthodes précédemment nommées en texte. Cette simplification pourrait réduire la surface d’analyse et la lisibilité côté reverse engineering.
Des APK déguisés et une charge noyau embarquée
Les chercheurs ont également observé la distribution d’packages APK qui prendraient l’apparence d’un service système appelé SystemService. Le déroulé comprendrait des étapes de vérification (notamment la recherche de droits root) puis l’exécution d’une charge ELF incluse.
Sur la période allant d’octobre à décembre 2025, huit artefacts APK auraient été identifiés. Pour l’échantillon le plus ancien, les chercheurs mentionnent une cible x86 et un exploit de type Dirty COW.
Le rapport suggère une évolution : le développement est passé d’approches d’exploitation Linux plus traditionnelles vers un modèle actuel reposant sur la propagation via ADB.
Éléments de sécurité opérationnelle observés
Les changements de noms de fichiers et d’implémentations indiqueraient des ajustements réguliers de sécurité opérationnelle. Les chercheurs évoquent, entre novembre et décembre 2025, la transition de libn[redacted]kernel.so vers un nom moins visible libdevice.so, puis un retour en arrière.
Ces variations peuvent rendre les règles de détection fondées uniquement sur des artefacts statiques moins efficaces, d’où l’intérêt d’adopter une stratégie combinant signatures, heuristiques et signaux comportementaux.
Contexte : d’autres familles de botnets actifs
La divulgation intervient alors que plusieurs nouvelles familles de logiciels malveillants orientés botnets sont apparues récemment. Les chercheurs citent notamment :
- AryStinger, qui enrôle des routeurs domestiques anciens et vulnérables pour de la reconnaissance distribuée et du proxying ;
- RustDuck, qui détourne routeurs, caméras IP, boîtiers Android et serveurs mal sécurisés afin de former un réseau d’attaque DDoS ;
- NadMesh, une plateforme autonome capable de combiner scanning, exploitation et collecte d’informations (incluant des composants liés à Redis, Docker et certaines plateformes applicatives) ;
- Tengu, un malware IoT dérivé de Mirai utilisant notamment la force brute via Telnet pour prendre le contrôle d’appareils et orchestrer des activités de déni de service, de persistance et d’exfiltration.
Dans ce panorama, Kimwolf v7 s’inscrit comme une évolution ciblée d’un botnet déjà à grande échelle, avec un accent sur la capacité à rendre le trafic d’attaque plus indétectable.
Recommandations : réduire l’exposition des Android TV
Pour limiter le risque, Unit 42 recommande de traiter les Android TV boxes comme des équipements potentiellement non fiables et de les isoler du réseau d’entreprise.
Surtout, les chercheurs insistent sur un levier concret : désactiver l’ADB ou le restreindre à un accès uniquement via USB. Comme l’ADB constitue un vecteur de propagation central dans ce scénario, cette action réduit la probabilité de prise de contrôle initiale.
À l’échelle des équipes, il peut aussi être utile de renforcer la détection sur des signaux plus fins que le simple volume, notamment lors de sessions HTTP/2 où le contenu et le comportement peuvent être trompeurs.
Conclusion
Kimwolf v7 illustre une tendance claire dans la menace : rendre les attaques DDoS plus crédibles en imitant des éléments de navigation légitime, notamment via HTTP/2 et des empreintes navigateur construites. En parallèle, le botnet cherche à consolider son contrôle grâce à un C2 à étages mêlant ENS, Tor et un proxy local.
Face à cela, la meilleure défense passe par la réduction des surfaces d’exposition — en particulier l’ADB sur Android TV — et par une approche de détection qui combine contexte, comportement et segmentation réseau.
Source: https://thehackernews.com/2026/08/kimwolf-v7-android-botnet-makes-http2.html
