新たに確認されたKimwolf v7のビルドは、AndroidおよびIoTを狙うこのボットネットが、オールインワン型の侵害ツールキットから、より専門特化したDDoSおよびプロキシリレー用ペイロードへと移行していることを示しています。
最新の亜種では、組み込みのスキャン機能、悪用機能、ブルートフォース機能が削除されており、運用者はボットを展開する前に脆弱なデバイスへのアクセスを得る手段を外部のローダーに依存するようになったとみられます。
Unit 42の分析では、この変更を能力の縮小ではなく、意図的な役割分担の見直しと位置付けています。
AISURUエコシステムとの関連でも追跡されているKimwolfは、主にAndroid TVボックスやセットトップボックスを標的としています。以前の亜種は、レジデンシャルプロキシサービスを悪用し、ローカルネットワーク内でポート5555を通じて公開されているAndroid Debug Bridgeインスタンスに到達することで拡散していました。
プロキシエンドポイント経由でトラフィックがトンネリングされると、攻撃者は認証なしでADBが有効になっているデバイスにペイロードをインストールできました。
v7の再設計は、この初期アクセスの工程が外部化されたことを示しており、展開されるバイナリはコマンド&コントロール(C2)接続の維持と大規模攻撃の実行に注力する構成になっています。
最も重大な追加機能は、nghttp2ライブラリを用いて実装されたHTTP/2フラッドです。単純なWebリクエストを発行するのではなく、Kimwolf v7はChromeを模した詳細なブラウザフィンガープリントを構築します。これにはプロトコルの挙動やリクエストヘッダーのパターンも含まれ、正規のブラウジングにより近い形になっています。
これにより、従来のシグネチャベース、ヘッダー順序ベース、レートベースの制御を通じて、悪意のあるレイヤー7トラフィックを実際のユーザーセッションと区別することがより困難になります。
このマルウェアは、TCP、UDP、DNS、ICMP、TLS/HTTPS、HTTP/2フラッドにまたがる15種類の番号付きDDoS手法を引き続き備えています。
Unit 42の研究者によると、Kimwolf v7はまた、Android TVデバイスに多く使われるARMハードウェア向けに最適化された、パフォーマンス重視のUDPフラッド処理も備えています。
このコードは/dev/urandomからシード値を取得するXorshift256疑似乱数生成器を使用しており、そのソースが利用できない場合にはフォールバックの初期化処理を行います。
さらにARM NEON SIMD命令を利用してチェックサム計算を高速化しており、パケットごとの処理オーバーヘッドを削減することで、感染した家庭用デバイスがより効率的に大量トラフィック攻撃に加担できるようになっています。
このファイルはAndroid Native Development Kit(NDK)を用いてClangでコンパイルされており、Bionic libcを使用しています。Transport Layer Security(TLS)処理にはBoringSSLを、HTTP/2機能にはnghttp2を静的リンクしています。
Cloudsecurity services
C2の耐障害性が、今回のアップデートにおけるもう一つの大きなテーマです。このバイナリには5つの公開Ethereum RPCサービスがハードコードされており、Ethereum Name Service(ENS)のレコードを照会して現在のC2アドレスを解決します。
これらのエンドポイントは正規の公開インフラであり、解決を試みる前にシャッフルされるため、防御側は単に1つのドメインやIPアドレスをブロックするだけでは、限定的な効果しか得られず、場合によっては運用上の影響を招く可能性があります。
Kimwolf v7、悪用機能を削除
Unit 42はまた、eth[.]rpcuniverse[.]comについて、そのインフラの特徴と、Kimwolfのサンプルにのみ存在するという事実から、運用者が管理していると疑われるRPCの偽装フロントであると特定しました。
ENSベースの名前解決が失敗した場合、Kimwolf v7はハードコードされたTor v3の隠しサービスにフォールバックします。最終的な接続先がクリアネットのホストであってもTorであっても、すべてのC2トラフィックは127.0.0[.]1:23075で待ち受けるローカルプロキシを経由します。
このモジュール構成により、運用者はプロキシの挙動を主要なボットバイナリとは独立して変更できるようになっており、2025年12月に運用を妨げたC2テイクダウンへの耐性を持たせる狙いがあるとみられます。
このサンプルはnetd_serviceを装っており、これは正規のAndroidネットワーキングプロセスに紛れ込むことを意図した名前です。
研究者らは、2025年12月から2026年2月の間に観測されたホスト群で共通のSSHホスト鍵を特定したことを受け、AS202799に属し、ロシア・サンクトペテルブルクにジオロケーションされる22個のIPアドレス周辺に関連インフラをクラスタリングしました。
このクラスタリングにより、防御側は個々の宛先IPアドレスだけに頼るよりも強力な調査の足がかりを得られます。
防御側にとって、実務上の検知の焦点はエクスプロイトのシグネチャから、振る舞いベースのテレメトリへとシフトすべきです。
AndroidやIoTデバイスからの予期しないEthereum RPCへのアウトバウンドリクエスト、TVボックスからのTorやSOCKSの通信、ポート23075へのローカルホスト接続、不審なnetd_serviceプロセスなどは、価値の高い検知指標となります。
組織はまた、ADBの露出を制限し、管理されていないAndroidデバイスをセグメント化し、DNSセキュリティ、高度なURLフィルタリング、IoT可視化のコントロールを適用すべきです。
Cloudsecurity services
Kimwolf v7は、現代のボットネット運用者が、アクセス獲得、ペイロード配信、攻撃実行、そして耐障害性を備えたC2を、それぞれ独立して調整可能なコンポーネントへと切り分ける傾向を強めていることを示しています。
[ライブウェビナー] Elastic&UnderDefenseと共に、少人数のセキュリティチームがAIの可視性とエージェント型対応を1つの運用モデルに統合する方法を学びましょう。-> 今すぐ登録
翻訳元: https://gbhackers.com/kimwolf-v7-removes-exploitation/
