Botnet Kimwolf v7 usa Ethereum e Tor para resistir a derrubadas

A Unit 42, divisão de pesquisa de ameaças da Palo Alto Networks, publicou em 11 de agosto de 2026 a análise de uma nova versão da botnet Kimwolf, identificada como v7. A amostra foi descoberta pelos pesquisadores em 3 de fevereiro de 2026, a partir de caça a ameaças conduzida após divulgações públicas de XLab, Synthient, Infoblox e Cloudflare.

As duas mudanças centrais da v7 atacam justamente os dois pontos em que as defesas costumam ser eficazes. A primeira é um ataque de negação de serviço sobre HTTP/2 que forja impressões digitais completas de navegador, tornando o tráfego malicioso difícil de separar da navegação legítima. A segunda é uma infraestrutura de comando e controle em três camadas, apoiada em Ethereum Name Service e em serviço oculto Tor, projetada para sobreviver a derrubadas de domínio.

O assunto interessa diretamente ao Brasil: levantamentos de 2025 e 2026 apontam o país entre as maiores concentrações de dispositivos infectados pela Kimwolf, ao lado de Índia, Estados Unidos e Argentina.

O que é a Kimwolf e de onde ela veio

A Kimwolf — também rastreada sob o nome AISURU — está ativa desde agosto de 2024. Inicialmente mirava dispositivos Linux de internet das coisas sob o nome AISURU e, por volta de agosto de 2025, migrou para set-top boxes e TV boxes Android.

A Unit 42 esclarece um ponto que costuma gerar confusão: não se trata de um único malware renomeado, e sim de duas bases de código distintas sob os mesmos operadores. AISURU designa as variantes para Linux/IoT; Kimwolf designa as variantes voltadas ao Android.

A propagação explora uma falha de configuração comum nesse tipo de aparelho. Muitos TV boxes Android saem de fábrica com o Android Debug Bridge (ADB) habilitado na porta 5555 e sem autenticação. Os operadores abusam de serviços de proxy residencial para alcançar redes domésticas e corporativas por dentro e, uma vez com acesso à rede local, instalam o malware nesses dispositivos sem precisar de qualquer credencial.

A escala já registrada é relevante. Segundo a XLab, a botnet chegou a controlar entre 1,8 e 2 milhões de dispositivos e emitiu mais de 1,7 bilhão de comandos de ataque. A família AISURU é apontada pela Cloudflare como responsável pelo maior ataque de negação de serviço divulgado publicamente, com pico de 29,7 terabits por segundo.

A amostra analisada

O binário usado como referência é um executável ELF ARM estaticamente vinculado, compilado com o Android NDK usando Clang. Ele incorpora estaticamente o BoringSSL para operações TLS e a biblioteca nghttp2 para funcionalidade HTTP/2 — justamente a base do novo método de ataque. Ao ser executado, o malware mascara o próprio nome de processo como netd_service, imitando processos legítimos do sistema Android.

A Unit 42 agrupou seis amostras ELF com base em quatro indicadores: layout idêntico de seções ELF produzido por um mesmo ambiente de compilação NDK, o mesmo conjunto fixo de endpoints RPC Ethereum, sobreposição de infraestrutura de C2 no mesmo provedor de hospedagem e o mesmo comportamento de mascaramento de nome de processo.

Inundação HTTP/2 com impressão digital de navegador

A novidade mais relevante da v7 é uma função de inundação sobre HTTP/2 apoiada na biblioteca nghttp2. Em vez de gerar requisições genéricas e repetitivas — padrão que soluções de mitigação detectam com facilidade —, o malware constrói cabeçalhos que reproduzem a impressão digital completa de um navegador Chrome.

Na prática, isso significa que o tráfego de ataque chega ao alvo com a mesma ordem de cabeçalhos, os mesmos parâmetros de protocolo e as mesmas características de conexão que um navegador real apresentaria. Ferramentas de mitigação que dependem de identificar anomalias de protocolo ou assinaturas de cliente perdem eficácia, porque, do ponto de vista do protocolo, as requisições são indistinguíveis das legítimas.

A v7 também traz uma inundação UDP de alto desempenho que usa um gerador pseudoaleatório Xorshift256 semeado a partir de /dev/urandom, com inicializador alternativo SplitMix64 caso a fonte de entropia esteja indisponível. O cálculo de checksum IP/UDP é acelerado por instruções SIMD ARM NEON, otimização deliberadamente ajustada aos processadores ARM dos TV boxes para maximizar a vazão por dispositivo.

No total, a tabela de despacho suporta 15 métodos de ataque distribuídos entre as camadas 3 a 7 do modelo OSI — de inundações TCP SYN, ACK e RST a floods de DNS, ICMP, TLS/HTTPS e o já citado HTTP/2. Versões anteriores tinham 43 métodos nomeados por texto; a consolidação em 15 sugere limpeza de código, não perda de capacidade.

Comando e controle em três camadas

O sistema de resolução de C2 da v7 foi desenhado como resposta direta às operações de derrubada que atingiram a botnet duas vezes em dezembro de 2025.

Camada 1 — Ethereum Name Service

O binário carrega cinco endpoints públicos de RPC Ethereum em texto claro. O Ethereum Name Service (ENS) é um sistema de nomes construído sobre a blockchain Ethereum, funcionalmente análogo ao DNS. O malware consulta registros ENS por meio desses endpoints para obter os endereços de comando e controle.

A escolha é engenhosa do ponto de vista do atacante: os cinco endpoints são serviços legítimos e amplamente usados. Antes de cada tentativa de resolução, o malware embaralha a lista com um gerador pseudoaleatório, o que cria redundância de cinco vias. A Unit 42 é explícita na orientação defensiva: as organizações devem monitorar tráfego incomum de RPC Ethereum vindo de dispositivos IoT e Android, e não bloquear esses endpoints indiscriminadamente, já que atendem usos legítimos.

A investigação de infraestrutura identificou ainda um sexto endpoint que os pesquisadores avaliam, com confiança moderada, estar sob controle dos operadores. Os indícios são circunstanciais mas convergentes: o domínio não tem classificação global de tráfego, resolve para um único endereço IP em um VPS de baixo custo, o DNS passivo reverso mostra que o IP hospeda apenas subdomínios daquele domínio, e duas amostras Kimwolf o codificam junto aos cinco provedores legítimos. A Unit 42 registra de forma transparente que não foi possível confirmar a titularidade do domínio.

Camada 2 — serviço oculto Tor

Quando a resolução via ENS falha, o binário recorre a um endereço .onion v3 fixo no código. Uma função dedicada gerencia os estados do protocolo: envio da saudação SOCKS5, montagem da requisição CONNECT com o endereço de 62 caracteres e handshake TLS sobre o túnel estabelecido.

Camada 3 — proxy local

Todo o tráfego de C2 — destinado à internet aberta ou ao Tor — é roteado por um proxy local em 127.0.0.1, porta 23075. Esse desenho modular permite atualizar o componente de proxy de forma independente do binário principal do bot, o que dá aos operadores flexibilidade para mudar de transporte sem redistribuir o malware.

Agrupamento da infraestrutura

A análise das amostras revelou conexões a endereços IP na faixa 212.193.31.x, em portas TCP 13 e 443. Nenhum deles tinha indicadores prévios de atividade maliciosa em bases públicas de inteligência de ameaças.

O elo veio de um detalhe operacional: todos os hosts apresentavam a mesma chave de host SSH. Pivotando sobre essa chave, os pesquisadores encontraram 22 endereços IP na mesma faixa compartilhando a chave idêntica entre 18 de dezembro de 2025 e 3 de fevereiro de 2026, e nenhum host fora dela. Todos residem no mesmo sistema autônomo, geolocalizado em São Petersburgo, na Rússia.

O caso é uma boa ilustração de técnica defensiva: reutilizar a mesma chave de host SSH ao clonar servidores é um erro de higiene operacional que permite mapear infraestrutura inteira a partir de um único indicador.

Variantes em APK e o que mudou nas versões

Além dos ELF autônomos, os operadores distribuem pacotes APK que embutem uma carga ELF dentro de um invólucro Java. Foram identificadas oito amostras entre outubro e dezembro de 2025, que se disfarçam de serviço de sistema, verificam a existência de acesso root e executam o binário embutido. A evolução dos artefatos revela ajustes constantes de segurança operacional — mudança de prefixo de pacote, consolidação de variantes de kernel e troca do nome do arquivo de biblioteca, revertida no mês seguinte.

A amostra mais antiga do conjunto, de setembro de 2025, é reveladora da trajetória do grupo: mira arquitetura x86 em vez de ARM e deposita um arquivo cujo nome faz referência ao Dirty COW (CVE-2016-5195), vulnerabilidade de escalada de privilégios no kernel Linux divulgada em 2016. Isso indica que a família nasceu na exploração tradicional de sistemas Linux x86 antes de migrar para o modelo atual, baseado em ADB no Android.

Na v7, os operadores removeram por completo os módulos de varredura, exploração e força bruta. A leitura da Unit 42 é que houve separação de responsabilidades: carregadores externos passaram a cuidar do acesso inicial, enquanto o binário Kimwolf se concentra em ataques e retransmissão via proxy.

Impactos, limitações e riscos

Para o defensor, a mudança mais custosa é a inundação HTTP/2 com impressão digital de navegador. Mitigação na camada de aplicação depende historicamente de distinguir cliente automatizado de cliente real; quando essa distinção deixa de existir no nível do protocolo, a defesa precisa migrar para análise comportamental — frequência de requisições por origem, coerência de sessão, padrões de navegação — que é mais cara e mais sujeita a falsos positivos.

Há limitações importantes na ameaça, contudo. O vetor de propagação continua sendo ADB sem autenticação em rede local, o que significa que uma medida simples e amplamente disponível — desabilitar o ADB ou restringi-lo a USB — elimina a porta de entrada. A botnet depende de um universo específico de aparelhos baratos, muitos deles sem atualização de fabricante, e não de uma falha em software corporativo.

Do lado das incertezas, a atribuição do sexto endpoint RPC aos operadores é declaradamente de confiança moderada e não confirmada. Os endereços IP de C2 mapeados estavam offline após o fim de janeiro de 2026, e a análise foi publicada mais de seis meses após a descoberta da amostra — ou seja, a infraestrutura ativa hoje provavelmente é outra. Os indicadores de comprometimento servem para caça retroativa e para reconhecer o padrão, não como lista de bloqueio atual.

Para o Brasil, o risco prático é dobrado. Além de contribuir com banda para ataques contra terceiros, um TV box comprometido dentro de uma rede corporativa ou doméstica funciona como ponto de apoio persistente em território normalmente fora do escopo de monitoramento.

Recomendações práticas

• Trate TV boxes Android como dispositivos não confiáveis. Segmente-os em VLAN própria, separada da rede corporativa, com regras de saída restritivas.
• Desabilite o ADB ou restrinja-o a USB. Essa única medida remove o vetor principal de propagação da botnet.
• Monitore conexões HTTPS a endpoints públicos de RPC Ethereum partindo de dispositivos que não têm razão para interagir com serviços de blockchain. Monitorar, não bloquear indiscriminadamente.
• Alerte sobre estabelecimento de circuitos Tor ou tráfego proxy SOCKS5 originado em TV boxes e outros dispositivos IoT.
• Procure conexões à porta 23075 em localhost nos dispositivos sob gestão.
• Verifique a presença de processo chamado netd_service em aparelhos Android de consumo — o nome imita um serviço legítimo, mas o contexto de execução denuncia.
• Revise a política de compra de equipamentos. Aparelhos sem procedência clara e sem canal de atualização de firmware são o principal reservatório desta e de outras botnets.

Conclusão

A Kimwolf v7 não é uma reinvenção, e sim uma especialização. Os operadores desistiram de acumular funções no mesmo binário e concentraram esforço em dois problemas específicos: tornar o tráfego de ataque indistinguível do legítimo e tornar a infraestrutura de controle resistente a derrubadas. Ambos os investimentos são respostas diretas a ações defensivas bem-sucedidas de 2025.

O que observar a seguir: se o uso de ENS como camada de resolução de C2 se difundir para outras famílias de malware, a comunidade de defesa precisará de mecanismos de detecção que hoje praticamente não existem em produtos comerciais. E, no plano local, a persistência do Brasil entre os países mais infectados sugere que o problema não se resolve por resposta a incidentes, mas por qualidade e atualização do parque de dispositivos vendidos no país.

Fontes e referências

• Unit 42, Palo Alto Networks — Kimwolf v7: An Evolution of the Kimwolf Botnet
• Cloudflare — What is the Aisuru-Kimwolf botnet?
• Krebs on Security — The Kimwolf Botnet is Stalking Your Local Network
• The Hacker News — Kimwolf Botnet Hijacks 1.8 Million Android TVs, Launches Large-Scale DDoS Attacks
• Security Affairs — Kimwolf v7 Hides DDoS Traffic Behind Chrome Fingerprints and Ethereum
• BleepingComputer — Kimwolf Android botnet abuses residential proxies to infect internal devices