# Chiến dịch Kimwolf: Botnet Android Siêu Lớn Lạm Dụng Residential Proxy Networks

Gần đây phía FPT Threat Intelligence phát hiện một chiến dịch mạng botnet **Kimwolf** quy mô lớn nhất trong nửa cuối năm 2025 kéo dài sang 2026, *lợi dụng các lỗ hổng hệ thống bảo mật trong mạng residential proxy và các thiết bị Android để xây dựng một mạng botnet hàng triệu thiết bị* phục vụ cho nhiều hoạt động tấn công và kiếm tiền bất hợp pháp.

## Tổng quan

* **Tên chiến dịch**: Kimwolf Android Botnet
    
* **Mục tiêu chính**: Android TV Box, TV thông minh, set-top box, và các thiết bị Android có dịch vụ mở (ADB)
    
* **Kích thước ước tính**: ~2 triệu thiết bị Android bị lây nhiễm
    
* **Thời điểm hoạt động**: Ít nhất từ tháng 8/2025 đến na*y*
    
* **Quốc gia chịu ảnh hưởng nặng**: Việt Nam, Brazil, Ấn Độ, Saudi Arabia…
    

Kimwolf là một biến thể Android của botnet AISURU, được thiết kế để khai thác rộng rãi các **mạng proxy residential**, biến các thiết bị gia đình trở thành phần của hạ tầng tấn công toàn cầu.

![](https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEgoagCiQreHKCPg3bAeEHen4IRoTL2DCeq55mXbawbXrEc6Fnrj2GQvMWvHBpcPCe9EB0w9zxiZp8q7WF-Qk7INgdYEMm4z-oKgFw7RFeK322l9WGLvqVXEY6h5zAyVREbrYNf0maaBLyDTcBK_ZBwrVHOjLH8CjdPDAX2IAMEsbPxHDny8QyoAwUYZIjH2/s790-rw-e365/kim.png align="left")

### Cách thức lây nhiễm và triển khai

Khác với botnet truyền thống chỉ quét internet công cộng, Kimwolf **tận dụng mạng residential proxy** – tức các IP của mạng gia đình/tổ chức được bán dịch vụ proxy – để *che giấu hành vi quét và lây nhiễm* tới thiết bị nội bộ.

Điểm quan trọng là:

* Proxy này cho phép truy cập tới địa chỉ nội bộ (RFC-1918), dẫn tới việc các thiết bị trong mạng bị đánh như thể đang ở trong cùng mạng nội bộ.
    
* Hành vi này giúp **bypass tường lửa truyền thống và hệ thống phát hiện tấn công dựa trên IP nguồn**.
    

Nhiều Android TV Box được **bật chế độ ADB mở (ADB over TCP) không bảo mật** – thường lắng nghe trên cổng **5555** hoặc tương tự.

Kimwolf dùng **quét quy mô lớn** thông qua các residential proxy để tìm các thiết bị có ADB mở – nhờ đó có thể *đăng nhập không cần xác thực và cài đặt payload từ xa*.

### Mô tả kỹ thuật malware

Sau khi xâm nhập thành công, Kimwolf thực hiện một chuỗi hành vi kỹ thuật phức tạp như sau:

**Downloader và Payload Deployment**

* Malware không chỉ là một file duy nhất; botnet sử dụng một **downloader script tự động** tải về và cài đặt payload chính lên thiết bị mục tiêu.
    
* Payload có cả các thành phần **native binary (NDK)** lẫn **APK Android cho proxy và SDK monetization**.
    

**Persistence và Listener**

* Một **listener local** được thiết lập (ví dụ port **40860**) để duy trì kết nối và nhận lệnh từ C2.
    

**Giao tiếp C2 (Command & Control)**

Kimwolf sử dụng nhiều kỹ thuật nâng cao để duy trì liên lạc và chống gián đoạn:

* Giao tiếp đến server C2 được mã hoá và kết nối qua TLS.
    
* Sử dụng **DNS-over-TLS và ENS (Ethereum Name Service)** để lấy IP C2 real-time – hạn chế bị chặn hoặc tấn công hạ tầng DNS.
    

Điều này giúp botnet **vượt qua các biện pháp chặn theo domain hoặc IP truyền thống**.

**Tính năng chức năng của Kimwolf**

Kimwolf có rất nhiều module, khiến nó không chỉ là botnet DDoS thông thường:

| Chức năng | Mô tả |
| --- | --- |
| **DDoS** | Hỗ trợ nhiều phương pháp tấn công TCP/UDP/ICMP – hơn 13 kiểu khác nhau. |
| **Proxy Forwarding** | Biến thiết bị thành node proxy, bán lại băng thông. |
| **Reverse Shell & File Management** | Cho phép điều khiển thiết bị từ xa, tải/xóa file. |
| **SDK Monetization (Byteconnect, Plainproxies)** | Cài SDK phụ để thu tiền từ traffic và credential stuffing. |

**Đặc điểm nổi bật & điểm nhấn kỹ thuật**

Thuật toán ẩn C2 bằng blockchain (ENS), Kimwolf sử dụng kỹ thuật gọi là **EtherHiding**:

* C2 domains được lưu trữ trên blockchain qua ENS (Ethereum Name Service)
    
* Thi malware trích xuất IP thực bằng các thao tác mã hoá/xor để chống phát hiện.  
    → Điều này *cực kỳ khó bị chặn hoặc takedown* bằng các cách thông thường.
    

### Ảnh hưởng & Mối đe dọa

Chiến dịch này đã:  
\- Lây nhiễm >2 triệu thiết bị Android toàn cầu.  
\- Thúc đẩy lượng traffic DDoS tiềm năng lên ~30+ Tbps – gần kỷ lục thế giới.  
\- Bán băng thông của botnet dưới dạng residential proxies cực rẻ và lạm dụng để kiếm tiền.

Đại đa số các thiết bị bị ảnh hưởng đều là **thiết bị Android giá rẻ, firmware yếu, ADB enabled và thiếu cập nhật bảo mật**.

## Khuyến nghị

Phía **FPT Threat Intelligence** khuyến nghị một số biện pháp bảo vệ các thiết bị IOT trong tổ chức nói chung và các cá nhân nói riêng như sau:

**Ngăn chặn xâm nhập**

* **Tắt ADB qua TCP/IP** trên tất cả thiết bị Android trừ khi thực sự cần thiết.
    
* Chặn traffic từ các residential proxy sources không đáng tin.
    

**Giám sát & phát hiện**

* Dùng EDR/NDR để phát hiện liên lạc bất thường tới C2 domains hoặc TLS traffic không chuẩn.
    
* Kiểm tra thiết bị trong mạng nội bộ có listener port bất thường (ví dụ port 40860).
    

**Cập nhật & kiểm tra firmware**

* Với Android TV Box và IoT, cập nhật firmware / thay thế thiết bị không còn hỗ trợ bảo mật.
    

**Phân tích log/dữ liệu**

* Giám sát kết nối proxy bất thường, bất kỳ kết nối không xác thực tới ADB hoặc DNS-over-TLS.
    

## Tham khảo

[Malware & ThreatsKimwolf Android Botnet Grows Through Residential Proxy Networks](https://www.securityweek.com/kimwolf-android-botnet-grows-through-residential-proxy-networks/)

[Kimwolf Botnet Hijacks 1.8 Million Android TVs, Launches Large-Scale DDoS Attacks](https://thehackernews.com/2025/12/kimwolf-botnet-hijacks-18-million.html)

[Kimwolf Android Botnet: Massive Infection of Smart TVs, IoT Devices, and TV Boxes via Exposed ADB and Residential Proxy Networks](https://www.rescana.com/post/kimwolf-android-botnet-massive-infection-of-smart-tvs-iot-devices-and-tv-boxes-via-exposed-adb-an)