Сломанная система: сети жилых прокси стали топливом для ботнета Kimwolf

botnet

Исследовательская группа компании Synthient обнародовала детальный отчёт о продолжающейся активности крупного ботнета Kimwolf, представляющего собой вариант для Android известной сети Aisuru. За последние четыре месяца, начиная с августа 2025 года, ботнет демонстрировал стремительный рост. Эксперты с высокой долей уверенности оценивают общее число заражённых устройств более чем в 2 миллиона. Ключевым вектором атаки стало беспрецедентное использование уязвимостей в сетях жилых прокси, что позволило злоумышленникам массово инфицировать устройства с открытым Android Debug Bridge.

Описание

Новый вектор: взлом через прокси-сети

Уникальность Kimwolf заключается в его способности использовать инфраструктуру провайдеров жилых прокси для сканирования и заражения устройств внутри локальных сетей. Ботнет активно направлял запросы на специальные домены, например, xd[.]resi[.]to, которые резолвились в адрес 0.0.0.0, указывающий на устройство, запустившее прокси SDK. Это позволяло атаковать другие устройства в той же сети. Сканирование велось круглосуточно и достигало беспрецедентных масштабов. Специалисты Synthient зафиксировали серию вредоносных пейлоадов, которые загружали и устанавливали на устройства компоненты ботнета под видом легитимных приложений.

Портрет жертвы: предустановленное вредоносное ПО

Анализ демографии заражений показал, что наиболее часто под удар попадают TV-боксы и смарт-телевизоры под управлением Android. Причём значительная часть этих устройств поставляется на рынок уже предустановленным вредоносным SDK от прокси-провайдеров. Исследователи приобрели несколько таких устройств, и теория подтвердилась. После подключения к интернету и попадания в пул прокси устройство сканировалось и полностью компрометировалось ботнетом Kimwolf в течение считанных минут. География заражений охватывает Вьетнам, Бразилию, Индию и Саудовскую Аравию.

Монетизация: DDoS, продажа трафика и установка приложений

Угроза Kimwolf не ограничивается только распределёнными атаками на отказ в обслуживании. Cloudflare фиксировала пиковые значения таких атак на уровне 29.7 Тбит/с. Злоумышленники также активно монетизируют ботнет, продавая доступ к жилым прокси по крайне низким ценам и предлагая услуги по установке приложений. В ходе исследования был обнаружен вторичный SDK Byteconnect, который устанавливался на часть заражённых устройств и использовался для проведения атак на подбор учётных данных против почтовых серверов и популярных веб-сайтов.

Реакция и исправления

Synthient уведомила о критической уязвимости несколько крупных прокси-провайдеров. Компания IPIDEA, которая, по данным отчёта, была главной целью атак, оперативно выпустила патч 28 декабря. Обновление заблокировало доступ к устройствам в локальной сети и закрыло ряд опасных портов, включая 5555 и 12108, используемых для доступа к ADB. Однако проблема носит системный характер, и не все провайдеры отреагировали на предупреждения.

Рекомендации по защите

Эксперты дают следующие рекомендации различным группам. Провайдерам прокси-услуг необходимо срочно проверить свою инфраструктуру на возможность запросов к локальным адресам и заблокировать такие сценарии.  Организациям следует отслеживать сетевой трафик на предмет подключений к известным командным серверам ботнета и проводить аудит устройств в своей сети.

Вывод: системная уязвимость

История ботнета Kimwolf наглядно демонстрирует глубокую системную уязвимость, возникшую на стыке спроса на дешёвый прокси-трафик и недостаточной безопасности прошивок массовых устройств. Успешная операция злоумышленников создала прецедент для будущих атак. Следовательно, пока существует рынок сверхдешёвых жилых прокси, риски для корпоративных и домашних сетей будут оставаться критически высокими. Ботнет превратил целую экосистему в инструмент для киберпреступности.

Индикаторы компрометации

Комментарии: 0