Uma nova versão do Kimwolf, um dos botnets de dispositivos Android associados a ataques DDoS de grande escala, recebeu recursos que tornam sua atividade mais difícil de identificar e interromper. A análise da Palo Alto Networks, divulgada pelo Unit 42, aponta que a versão 7 passou a utilizar ataques HTTP/2 capazes de reproduzir características de navegadores legítimos, além de mecanismos descentralizados para manter a comunicação com os servidores de comando.
A evolução mostra como operadores de botnets estão respondendo às tentativas de derrubar sua infraestrutura. O Kimwolf já havia sido associado a milhões de dispositivos Android comprometidos e a ataques DDoS de escala recorde.
Kimwolf tenta se esconder no tráfego legítimo
Uma das principais mudanças identificadas no Kimwolf v7 é a utilização de ataques HTTP/2 combinados com a criação de uma impressão digital (fingerprint) semelhante à de um navegador Chrome.
A estratégia busca fazer com que as requisições maliciosas se pareçam mais com acessos normais à web.
Em vez de gerar tráfego facilmente reconhecível como pertencente a um botnet, os dispositivos infectados podem reproduzir características esperadas de usuários legítimos.
Isso representa um desafio adicional para sistemas de defesa que utilizam apenas regras baseadas em assinaturas ou reputação de endereços IP.
Segundo a pesquisa apresentada pela Palo Alto Networks, o Kimwolf v7 constrói uma impressão digital completa de navegador durante os ataques HTTP/2.
Nova versão aposta em HTTP/2 para ataques
O protocolo HTTP/2 é amplamente utilizado na internet para melhorar a velocidade e a eficiência das conexões entre navegadores e servidores.
No caso do Kimwolf, porém, seus recursos são utilizados para ampliar a capacidade de ataques de negação de serviço distribuída.
Ataques DDoS funcionam ao gerar grandes quantidades de requisições ou tráfego contra um alvo, tentando consumir recursos suficientes para prejudicar ou interromper o serviço.
A utilização de HTTP/2 permite que os criminosos explorem um protocolo comum na web, enquanto a falsificação de características do navegador tenta dificultar a distinção entre uma pessoa acessando um site e um dispositivo controlado pelo botnet.
Botnet já esteve por trás de ataques gigantescos
A evolução do Kimwolf acontece depois de uma sequência de ataques de grande escala atribuídos à operação.
Em novembro de 2025, um ataque associado ao ecossistema AISURU/Kimwolf atingiu um pico de 31,4 Tbps e durou aproximadamente 35 segundos, segundo a Cloudflare. A campanha também foi relacionada a ataques que chegaram a bilhões de pacotes por segundo e dezenas de milhões de requisições por segundo.
O tamanho desses ataques transformou o Kimwolf em uma das operações de DDoS mais relevantes observadas recentemente.
A capacidade não depende apenas de servidores controlados pelos criminosos. O botnet utiliza dispositivos comprometidos espalhados pela internet como uma enorme rede distribuída para gerar tráfego.
Milhões de dispositivos Android foram afetados
O Kimwolf ganhou notoriedade depois que pesquisadores identificaram uma campanha que utilizava dispositivos Android, especialmente smart TVs e set-top boxes não oficiais, como parte da infraestrutura maliciosa.
Em janeiro, a Synthient estimou que mais de 2 milhões de dispositivos Android estavam associados ao botnet. A operação utilizava redes de proxies residenciais para alcançar equipamentos com o Android Debug Bridge (ADB) exposto.
A maioria dos dispositivos afetados não corresponde necessariamente a smartphones tradicionais.
TV boxes e aparelhos Android baratos, muitas vezes utilizados em ambientes domésticos, podem permanecer conectados à internet por longos períodos e apresentar configurações de segurança inadequadas.
Quando comprometidos, esses equipamentos podem ser transformados em integrantes de uma infraestrutura controlada remotamente.
ADB exposto facilita a expansão
Uma das características que ajudaram o Kimwolf a crescer foi a exploração de dispositivos com ADB exposto e sem autenticação adequada.
O Android Debug Bridge é uma ferramenta legítima utilizada para comunicação entre computadores e dispositivos Android, principalmente durante atividades de desenvolvimento e manutenção.
Quando essa interface fica acessível de maneira insegura, entretanto, ela pode criar uma porta para ações não autorizadas.
Pesquisadores identificaram que grande parte dos dispositivos ligados ao botnet apresentava ADB habilitado e sem autenticação.
Esse cenário reforça um problema recorrente no universo de dispositivos conectados: equipamentos baratos ou modificados podem permanecer anos em funcionamento sem atualizações adequadas.
Kimwolf também usa redes de proxy residenciais
Outro elemento importante da operação é a utilização de proxies residenciais.
Em vez de realizar varreduras diretamente a partir de servidores de data centers, os criminosos podem encaminhar atividades através de endereços IP associados a residências.
Isso dificulta a identificação porque o tráfego parece partir de conexões comuns de consumidores.
A estratégia também ajudou o malware a alcançar dispositivos que não estariam diretamente expostos à internet.
Pesquisadores da Synthient identificaram mais de 2 milhões de dispositivos Android associados ao Kimwolf e observaram que a operação explorava redes de proxy para alcançar equipamentos vulneráveis em redes internas.
Infraestrutura agora é mais resistente a bloqueios
Além do novo mecanismo de ataque, a versão 7 também apresenta mudanças na infraestrutura usada para receber comandos.
Segundo a análise da Palo Alto Networks, o Kimwolf v7 incorpora cinco endpoints públicos de RPC da rede Ethereum para consultar registros associados a um domínio ENS (Ethereum Name Service).
Na prática, isso permite que o botnet obtenha informações necessárias para localizar sua infraestrutura de comando por meio de mecanismos relacionados à blockchain.
O objetivo é dificultar a interrupção da operação.
Se um endereço IP utilizado pelos criminosos for derrubado, alterar a infraestrutura por trás do mecanismo de resolução pode ser mais simples do que modificar todos os dispositivos infectados.
Tor aparece como caminho alternativo
A nova versão também inclui um endereço de serviço oculto na rede Tor como mecanismo de comunicação alternativo.
Assim, caso o mecanismo principal de resolução utilizado pelo malware deixe de funcionar, a infraestrutura baseada em Tor pode atuar como um canal de reserva.
A Palo Alto Networks identificou justamente essa combinação entre Ethereum, ENS e Tor como parte da estratégia de resiliência do Kimwolf v7.
O resultado é uma arquitetura mais difícil de desativar completamente.
Em vez de depender de um único servidor central, a operação passa a contar com diferentes caminhos para localizar ou alcançar sua infraestrutura.
Evolução veio após ações contra o botnet
A mudança de arquitetura não parece ocorrer por acaso.
O ecossistema AISURU/Kimwolf passou por diversas ações de pesquisadores e autoridades ao longo de 2025 e 2026.
Em março, o Departamento de Justiça dos Estados Unidos anunciou uma operação para interromper infraestruturas associadas ao Kimwolf, AISURU, JackSkid e Mossad. As autoridades afirmaram que os botnets estavam relacionados a ataques DDoS e haviam comprometido milhões de dispositivos.
Em maio, um homem no Canadá foi preso e acusado de envolvimento com a operação Kimwolf. Segundo o Departamento de Justiça, o botnet teria emitido mais de 25 mil comandos de ataque antes das ações de interrupção.
A capacidade de reconstruir a infraestrutura depois dessas operações mostra por que a simples derrubada de servidores pode não ser suficiente.
Botnets estão ficando mais parecidos com operações profissionais
O caso do Kimwolf também evidencia uma transformação no mercado de malware.
Botnets modernos não são necessariamente programas simples que infectam computadores e aguardam comandos de um servidor.
Eles podem incorporar mecanismos de monetização, redes de proxy, sistemas descentralizados, múltiplos canais de comunicação e técnicas para imitar usuários legítimos.
Essa profissionalização aumenta o custo para empresas responsáveis por detectar e bloquear ataques.
A segurança deixa de ser apenas uma questão de identificar um endereço IP malicioso e passa a envolver análise de comportamento, características das conexões e padrões de uso.
O que empresas podem fazer?
A evolução do Kimwolf reforça a necessidade de observar não apenas o volume de tráfego, mas também o comportamento das requisições.
Entre as medidas que podem ajudar na defesa contra esse tipo de ameaça estão:
- monitorar padrões anormais de tráfego HTTP/2;
- utilizar sistemas de detecção comportamental;
- identificar dispositivos IoT que apresentem comportamento incomum;
- desabilitar ADB quando ele não for necessário;
- evitar dispositivos Android sem suporte adequado de segurança;
- manter equipamentos atualizados;
- monitorar conexões de saída;
- utilizar mecanismos de proteção contra DDoS;
- analisar anomalias mesmo quando o tráfego utiliza características semelhantes às de navegadores legítimos.
Para redes corporativas, também é importante segmentar dispositivos IoT e impedir que equipamentos comprometidos tenham acesso desnecessário a outros sistemas.
Um alerta para o mercado brasileiro
O histórico do Kimwolf merece atenção no Brasil porque o país esteve entre as regiões com grande quantidade de dispositivos associados à operação.
A análise divulgada pela Synthient apontou concentrações relevantes de infecções em Vietnã, Brasil, Índia e Arábia Saudita.
Isso torna especialmente importante o cuidado com TV boxes e outros dispositivos Android conectados à internet.
Equipamentos adquiridos de fontes desconhecidas, sem atualizações regulares ou com configurações de desenvolvimento expostas podem se transformar em pontos de entrada para botnets.
Mesmo que o usuário nunca perceba que seu aparelho foi comprometido, o dispositivo pode estar sendo utilizado para gerar ataques contra terceiros.
Kimwolf mostra nova fase dos ataques DDoS
A versão 7 do Kimwolf representa mais do que uma atualização técnica.
Ela mostra como operadores de botnets estão adaptando suas ferramentas para sobreviver a bloqueios, dificultar a identificação do tráfego e manter a comunicação mesmo quando parte da infraestrutura é derrubada.
A combinação de HTTP/2, falsificação de impressão digital de navegador, Tor e blockchain transforma uma rede de dispositivos Android comprometidos em uma infraestrutura significativamente mais resistente.
Para empresas e usuários, o alerta é direto: dispositivos conectados à internet não devem ser tratados como equipamentos isolados.
Smart TVs, TV boxes e outros aparelhos podem fazer parte de operações criminosas sem que o proprietário perceba.
E, à medida que botnets aprendem a se comportar cada vez mais como usuários legítimos, detectar ataques exigirá cada vez mais análise de comportamento — e não apenas bloqueio de endereços conhecidos.
