Onderzoekers van Unit 42 (Palo Alto Networks) melden een nieuwe variant van een bekend Android/IoT-botnet: Kimwolf v7. Deze versie is vooral opvallend omdat aanvallen met HTTP/2-verkeer niet zomaar “slecht” gegenereerd worden, maar worden opgezet om veel meer op normaal browsen te lijken. Daardoor kunnen DDoS-verkeersstromen lastiger te onderscheiden zijn van legitiem webverkeer.
Kimwolf v7 werd in februari 2026 ontdekt. Het botnet richt zich volgens de onderzoekers op een set apparaten, met name Android TV-boxen waarop Android Debug Bridge (ADB) is ingeschakeld en bereikbaar is binnen lokale netwerken.
Waarom Kimwolf v7 HTTP/2 zo “echt” laat lijken
In eerdere varianten kwam de DDoS-focus terug in het gebruik van webverkeer. In Kimwolf v7 zet het botnet echter een stap verder: het voert HTTP/2 flood-aanvallen uit en bouwt daarbij volledige browserfingerprints. Het gaat dan niet alleen om een generieke header-set, maar om een combinatie die volgens de onderzoekers zowel op protocol- als header-niveau het gedrag van echte browsers benadert.
Technisch wordt het HTTP/2-floodwerk aangedreven door de nghttp2-library. Voor verdedigers betekent dit dat klassieke herkenning op basis van “rare” protocolkenmerken of afwijkende requestpatronen minder effectief kan zijn, zeker wanneer de aanvaller juist probeert de verschillen te maskeren.
Meer dan DDoS: ook C2-weerbaarheid
Naast het aanvalsgedeelte proberen de makers de command-and-control (C2)-keten robuuster te maken. Volgens Unit 42 gebruikt Kimwolf v7 een tiered mechanisme om een C2-adres te verkrijgen en blijft het tegelijkertijd proberen om takedowns te weerstaan.
Dat mechanisme combineert onder meer:
- Ethereum Name Service (ENS) om C2-adressen te achterhalen via openbare Ethereum-RPC-diensten.
- Een hard-coded Tor .onion hidden service die als back-up dient.
- Een lokale proxy die routing organiseert tussen clearnet en Tor.
Opvallend is ook dat onderzoekers aangeven dat Kimwolf v7 scanning-, exploit- en brute-forcefunctionaliteit verwijdert. Dat duidt erop dat de verspreidingsstap (propagatie) is gescheiden van de kernpayload. In plaats daarvan zou een externe loader de initiële toegang kunnen verzorgen, terwijl Kimwolf v7 vooral DDoS en proxy-relay afhandelt.
Hoe Kimwolf v7 zich verspreidt via ADB op Android TV
Unit 42 beschrijft dat Kimwolf zich typisch verspreidt door residentiële proxydiensten te misbruiken. Daarmee komen aanvallers bij Android TV-boxen die in lokale netwerken bereikbaar zijn via een specifiek mechanisme: ADB op poort 5555.
Wanneer een apparaat eenmaal is aangetast, installeert de malware een component die:
- DDoS-aanvallen kan uitvoeren.
- Daarnaast kan dienen als relay om kwaadaardig verkeer verder te “vervoeren”.
Om detectie te bemoeilijken probeert de malware zich ook te verbergen als ogenschijnlijk legitieme Android-systeemprocessen. In de waarnemingen werd bijvoorbeeld een procesnaam genoemd die lijkt op “netd_service”.
Nieuwe kenmerken in Kimwolf v7 (samengevat)
Naast de HTTP/2-flood met browserfingerprints en de verstevigde C2-constructie noemt Unit 42 meerdere extra functionele wijzigingen. Hieronder de belangrijkste punten zoals onderzoekers ze beschrijven.
- HTTP/2 flood met nghttp2 en complete browserfingerprints die legitimate browsing moeten nabootsen.
- ENS-resolutie via openbare Ethereum-RPC-services om C2-adressen te bepalen.
- Tor .onion back-up met een hard-coded verborgen service-adres (zoals door Unit 42 genoemd).
- Lokaal proxy-architectuur waarbij C2-verkeer altijd door een lokaal adres wordt geleid, ongeacht of de bestemming clearnet of Tor is.
- High-performance UDP flood die specifiek inspeelt op ARM-processors die in Android TV-boxen worden aangetroffen.
- Versimpelde commandstructuur: DDoS-opdrachten worden geconsolideerd tot 15 genummerde methodes, terwijl eerdere versies nog tientallen tekst-gebaseerde methodes kenden.
Deze combinatie maakt het botnet niet alleen aanvalskrachtig, maar ook minder “handig” om op één enkel kenmerk te blokkeren, omdat het meerdere lagen en routes inzet.
Android APK’s vermomd als systeemservice
Naast de kerncomponenten beschrijven de onderzoekers ook hoe aanvallers Android APK-pakketten verspreiden. Die worden vermomd als een systeemservice met de naam SystemService.
Volgens Unit 42 doen de pakketten vervolgens o.a. pogingen om root-toegang te beproeven en voert men daarna een ingesloten ELF kernel payload uit.
In de periode van oktober tot december 2025 zijn acht van deze APK-artefacten waargenomen. Daarbij geeft Unit 42 aan dat de evolutie van de malware laat zien dat de familie is verschoven van meer traditionele Linux-exploitatie naar een verspreidingsmodel dat sterk leunt op ADB.
Indicatoren van actieve aanpassingen door de tijd
Unit 42 koppelt de ontwikkeling aan specifieke observaties over bestandsnamen en payload-inhoud. Zo wordt genoemd dat de malware in een eerdere fase een kernelcomponent gebruikte met een minder verhullende naam. Later zou er een minder opvallende bestandsnaam zijn toegepast, gevolgd door een terugdraai in december. Zulke “kleine” wijzigingen zijn vaak een teken dat operators actief sleutelen aan operationele beveiliging en detectie-omzeiling.
Ook de overstap van modules (zoals het splitsen van propagatie en core payload) past in dat patroon: wanneer scanners en exploits uit de kern verdwijnen, wordt de aanvalsketen modularer en lastiger om in één fase volledig te stoppen.
Wat dit betekent voor organisaties: segmenteren en ADB beperken
De kernboodschap van Unit 42 is duidelijk: behandel Android TV-boxen als onbetrouwbaar en haal ze uit het enterprise-netwerk. Door segmentatie te gebruiken, verklein je de kans dat een besmet apparaat zich “door het bedrijfsnetwerk heen” kan bewegen.
Daarnaast adviseert Unit 42 om ADB uit te schakelen of te beperken tot USB-only toegang. Daarmee neem je de belangrijkste propagatievector weg die Kimwolf v7 in de praktijk misbruikt.
Voor veel omgevingen lijkt dit misschien een specifieke maatregel, maar juist bij IoT- en edge-apparaten is het effect groot: als je de instroom naar de botnet-capabele apparaten stopt, daalt het aantal mogelijke “drones” dat DDoS-verkeer kan opbouwen.
Vergelijking met andere IoT-botnets: het patroon blijft hetzelfde
Unit 42 plaatst Kimwolf v7 in een bredere trend van recente botnet- en malwarefamilies die zich richten op thuisnetwerken, IoT-apparatuur en misconfiguraties. Voorbeelden die onderzoekers noemen zijn onder andere:
- AryStinger, dat oudere en kwetsbare thuisrouters inschakelt voor reconnaissance en proxying.
- RustDuck, dat routers, IP-camera’s en andere apparaten kapert om DDoS-aanvallen uit te voeren.
- NadMesh, dat meerdere componenten combineert voor scanning, exploitatie en het verzamelen van informatie.
- Tengu, een Mirai-afgeleide malware die telnet-brute-force gebruikt om IoT-apparaten over te nemen en vervolgens opdrachten uitvoert.
Het algemene thema: aanvallers zoeken naar apparaten met open of zwak beveiligde toegangspaden en bouwen daar botnet-capaciteit op, vaak met extra omzeiling om blokkering of disruptie te vertragen.
Directe acties die je vandaag kunt nemen
Als je organisatie (ook maar deels) Android TV-boxen of vergelijkbare edge-apparatuur beheert of op locaties staan waar medewerkers apparatuur aansluiten, kun je het risico snel verkleinen met een paar praktische stappen.
- Inventariseer welke apparaten ADB gebruiken of mogelijk kunnen gebruiken.
- Schakel ADB uit waar mogelijk, of zet het om naar USB-only voor beheer.
- Segmenteren: beperk communicatie tussen deze apparaten en je enterprise-netwerken.
- Let op afwijkend HTTP/2-achtig gedrag binnen webverkeer, vooral wanneer het patroon veel lijkt op browserrequest-gedrag.
- Versterk netwerktoezicht op basis van intentie en omgeving: niet alleen op signatures, maar ook op context (waar komt verkeer vandaan, en is het logisch voor het apparaatprofiel?).
Wil je meer lezen over hoe aanvallers misbruik maken van kwetsbaarheden of hoe patchen en mitigaties in de praktijk werken? Dan kun je ook kijken naar onze updates rond Bron: https://thehackernews.com/2026/08/kimwolf-v7-android-botnet-makes-http2.html
