Новая версия ботнета Kimwolf имитирует браузеры и использует блокчейн для управления

По данным аналитиков Unit 42, новый вариант выявлен 3 февраля 2026 года в ходе поиска угроз. Ботнет работает с августа 2024 года и изначально атаковал Linux-устройства, а с августа 2025-го переключился на Android-приставки. При этом сама программа существует в двух версиях под одним управлением: одна нацелена на Linux, другая - на Android. Специалисты отмечают, что именно Android-вариант развивается наиболее активно.

Распространение вредоноса происходит через отладочный интерфейс Android (ADB), который на многих ТВ-приставках включён по умолчанию и не требует пароля. Злоумышленники используют публичные прокси-сервисы, чтобы получить доступ к локальной сети жертвы, а затем установить вредоносный файл без какой-либо аутентификации. Такая схема позволяет заражать устройства в больших количествах, не вступая в прямой контакт с владельцем.

Ключевым нововведением версии 7 стала атака на основе современного протокола HTTP/2, которая формирует полные отпечатки браузера, например имитируя Google Chrome или Safari. Вредоносный трафик при этом практически невозможно отличить от легитимного, что серьёзно усложняет работу систем защиты. В дополнение к этому ботнет получил несколько новых типов флуда, включая асинхронные UDP-атаки и атаки на игровые серверы.

Управление ботнетом построено на трёх уровнях. Основной способ получения адресов командных серверов - блокчейн Ethereum, а именно система имён ENS, которая сопоставляет доменное имя с адресом кошелька или сервера. В случае недоступности этой схемы используется резервный адрес в анонимной сети Tor. Кроме того, все соединения проходят через локальный прокси, что позволяет обновлять отдельные компоненты без пересборки всей программы.

Стоит отметить, что в новой версии разработчики отказались от функций сканирования и эксплуатации уязвимостей, оставив только 15 методов атак. Вероятно, процесс заражения теперь вынесен в отдельные загрузчики, а сам бот отвечает исключительно за атаки и проксирование трафика. Такое разделение повышает гибкость и усложняет анализ вредоноса. При этом исследователи обнаружили, что более ранние образцы использовали известную уязвимость Dirty COW для заражения x86-систем, однако со временем операторы полностью переориентировались на Android-устройства.

Инфраструктура ботнета, по данным анализа, размещена на 22 серверах в России. Все они используют одинаковые ключи доступа, что позволяет быстро восстанавливать управление после блокировок. Первый сервер появился в середине декабря 2025 года, остальные подключались постепенно в течение шести недель. Такая распределённая структура делает борьбу с ботнетом более трудоёмкой, а применение блокчейна и Tor дополнительно защищает каналы управления.

Для защиты от заражения рекомендуется относиться к Android-ТВ приставкам как к потенциально небезопасным устройствам и не подключать их к корпоративным сетям. Самой действенной мерой остаётся отключение удалённого доступа ADB или ограничение его только USB-подключением. Владельцам устройств стоит регулярно проверять, какие процессы запущены на приставке, и обращать внимание на необычную сетевую активность, например попытки связаться с блокчейн-сервисами или анонимными сетями.

Обновлённый ботнет демонстрирует устойчивую тенденцию к использованию современных технологий для сохранения контроля над заражёнными устройствами. Имитация браузеров в сочетании с многоуровневой инфраструктурой делает атаки более опасными, поэтому компаниям необходимо сочетать сетевые фильтры с поведенческим анализом трафика. Palo Alto Networks уже предоставляет клиентам защиту от этой угрозы через свои облачные сервисы фильтрации URL и DNS.