Kimwolf v7: Botnet nutzt Ethereum zur Kontrolle von Android-TV-Boxen
Veröffentlicht am: 12.08.2026 um 05:33 Uhr | Redaktion boerse-global.de
Das seit Anfang des Jahres bekannte Botnet Kimwolf v7 ist trotz umfangreicher internationaler Strafverfolgungsmaßnahmen wieder im aktiven Betrieb. Sicherheitsforscher von Palo Alto Networks Unit 42 identifizierten die erneute Aktivität der Schadsoftware, die bereits seit Februar 2026 beobachtet wird. Die Infrastruktur der kriminellen Gruppe scheint sich nach Rückschlägen in den vergangenen Monaten reorganisiert zu haben und setzt nun auf modernere Verschleierungstaktiken.
Technischer Hintergrund und neue Angriffsmuster
Die aktuelle Version Kimwolf v7 unterscheidet sich deutlich von ihren Vorgängern. Den Berichten von Sicherheitsanalysten zufolge nutzt das Botnet nun HTTP/2-Flood-Angriffe für Distributed-Denial-of-Service-Attacken (DDoS). Dabei werde ein spezieller Chrome-Fingerabdruck verwendet, um den schädlichen Datenverkehr wie legitime Webseitenaufrufe von echten Browsern wirken zu lassen. Diese Methode erschwere es Sicherheitslösungen, den bösartigen Traffic von normalen Nutzeranfragen zu trennen.
Im Vergleich zu früheren Versionen wurde der Funktionsumfang der Schadsoftware gestrafft. Während ältere Varianten noch 43 textbasierte Befehle verarbeiten konnten, beschränke sich die aktuelle Version auf 15 nummerierte DDoS-Befehle. Zudem wurden Scan- und Exploit-Funktionen aus dem Code entfernt. Stattdessen setze die Software nun auf einen lokalen Proxy, der auf der IP-Adresse 127.0.0.1 und dem Port 23075 operiere.
Wer sich mit der Sicherheit seiner mobilen Endgeräte befasst, sollte die Risiken durch Schadsoftware und Hackerangriffe nicht unterschätzen. Dieser kostenlose Ratgeber zeigt Ihnen in fünf einfachen Schritten, wie Sie Ihr System effektiv gegen digitale Kriminalität absichern. 5 sofort umsetzbare Schutzmaßnahmen entdecken
Infrastruktur und Ausfallsicherheit über Ethereum
Ein markantes Merkmal der neuen Infrastruktur ist die Nutzung dezentraler Technologien zur Steuerung. Die Command-and-Control-Infrastruktur (C2) werde über den Ethereum Name Service (ENS) verwaltet. Dabei greife das Botnet auf 5 spezifische Ethereum-RPC-Endpunkte zu, um Befehle zu empfangen. Um gegen Abschaltungen durch Provider gefeit zu sein, verfüge Kimwolf v7 über einen Tor-Fallback-Mechanismus. Dieser nutze die .onion-Adresse edctgwib2n5l34t525zkxqzk5bqb6e5il2yiq5r6zu7gtlxa4uosn3qd[.]onion, um die Kommunikation aufrechtzuerhalten, falls die primären Kanäle blockiert werden.
Die physische Basis der Infrastruktur verorten Experten in Russland, konkret im Raum St. Petersburg. Dies verdeutliche die geografische Verlagerung, nachdem westliche Behörden im März dieses Jahres bereits Server beschlagnahmt hatten. Im Mai war zudem ein kanadischer Betreiber der Infrastruktur verhaftet worden, was jedoch offensichtlich nicht ausreichte, um das Netzwerk dauerhaft zu zerschlagen.
Der Schutz vor Malware und Sicherheitslücken beginnt oft bei den richtigen Systemeinstellungen und regelmäßigen Aktualisierungen. Erfahren Sie in diesem gratis PDF-Report, wie Sie durch gezielte Maßnahmen Datenverlust verhindern und Ihr Gerät dauerhaft absichern. Kostenlosen Sicherheits-Ratgeber herunterladen
Zielgeräte und Infektionsweg
Das Hauptaugenmerk der Angreifer liegt weiterhin auf Android-TV-Boxen. Diese Geräte seien besonders verwundbar, wenn die Android Debug Bridge (ADB) auf Port 5555 ungeschützt über das Internet erreichbar ist. Die schädliche Anwendung selbst tarne sich auf den infizierten Systemen als legitime Systemdatei unter dem Namen „SystemService“.
Die Analyse von acht Artefakten der Schadsoftware ergab, dass Teile des Codes bereits zwischen Oktober und Dezember 2025 entwickelt wurden. Frühe Proben des Botnets nutzten zudem einen Dirty-COW-Exploit für x86-Architekturen, um sich höhere Privilegien auf den Zielgeräten zu verschaffen. Experten raten Besitzern von Android-basierten Mediaplayern dringend dazu, die ADB-Einstellungen zu prüfen und sicherzustellen, dass keine unnötigen Ports nach außen hin offenstehen, um eine Rekrutierung ihrer Geräte in das Kimwolf-Netzwerk zu verhindern.
