🔒Открыть пост
и посмотреть медиа
и посмотреть медиа
📚Вы смотрите телевизор, пока приставка штурмует интернет. Kimwolf превратил Android TV в армию для DDoS
13 августа. / securitylab.ru /. Обычная Android-приставка может годами стоять рядом с телевизором и почти не привлекать внимания владельца. Операторы Kimwolf используют такие устройства как узлы крупного ботнета, а в версии v7 заметно усложнили и DDoS-атаки, и связь с управляющей инфраструктурой. Вредоносная программа научилась формировать HTTP/2-трафик с признаками настоящего Chrome, получать адрес командного сервера через Ethereum и переходить на Tor, если основной канал перестаёт работать.
Kimwolf v7 обнаружили 3 февраля 2026 года во время поиска новых компонентов ботнета после публикаций о предыдущих версиях. Kimwolf заражает прежде всего телевизионные приставки и другие устройства на Android. Родственный Linux-ботнет AISURU действует как минимум с середины 2024 года, а активность самого Kimwolf прослеживается с августа 2025 года.
Одно из главных изменений v7 связано с HTTP/2. Разработчики встроили библиотеку nghttp2 и добавили метод атаки, который формирует полный браузерный отпечаток. При отправке запросов бот подбирает заголовки и параметры протокола по образцу Chrome, поэтому сервер получает трафик, который на уровне HTTP/2 гораздо труднее отличить от обычной браузерной сессии.
Средства защиты от DDoS оценивают сразу множество признаков клиента. В расчёт идут структура запроса, набор и порядок HTTP-заголовков, настройки HTTP/2 и особенности установления соединения.
Примитивный бот часто выдаёт себя нестандартным сочетанием параметров, тогда как Kimwolf v7 старается воспроизводить поведение Chrome намного точнее. Фильтрация атак прикладного уровня из-за этого требует более глубокого анализа, а простая блокировка по известному отпечатку клиента работает хуже.
Для защиты Android TV-приставок специалисты рекомендуют прежде всего закрывать сетевой доступ к ADB. Если отладка необходима, её можно ограничить USB-соединением. В корпоративных сетях потребительские Android-устройства лучше размещать в отдельном сегменте без прямого доступа к рабочим системам.
При поиске Kimwolf стоит проверять необычную сетевую активность. Телевизионная приставка без явной причины не должна устанавливать HTTPS-соединения с публичными RPC-узлами Ethereum, создавать Tor-соединения, передавать трафик через SOCKS5 или обращаться к локальному порту 23075. Дополнительным признаком служит процесс netd_service на обычном потребительском Android-устройстве. Сочетание нескольких сигналов даёт основание изолировать приставку и проверить её сетевую активность.