חוקרי Unit 42 של Palo Alto Networks פרסמו ניתוח על גרסה חדשה של בוטנט התקיפות Kimwolf v7, המדביק בעיקר תיבות Android TV וממירים דיגיטליים חשופים לרשת. השדרוג המרכזי הוא יכולת להריץ הצפות DDoS מבוססות HTTP/2 שמזייפות במדויק את טביעת האצבע של דפדפן Chrome — כותרות, סדר הזרמים וגודל חלון — כך שהתעבורה הזדונית כמעט בלתי ניתנת להבחנה מגלישה רגילה, ועוקפת הגנות סטנדרטיות מבוססות חתימה או הגבלת קצב.
הפרטים
לפי Unit 42, הבוטנט (המוכר גם כ-AISURU בגרסאותיו ללינוקס) עבר בשנה האחרונה ממיקוד במכשירי IoT מבוססי לינוקס להתמקדות בתיבות Android TV, בעיקר דרך יציאת ADB (5555) שנותרת פתוחה לרשת. מעבר להצפת HTTP/2, הגרסה החדשה כוללת גם הצפת UDP מהירה המנצלת הוראות מעבד ייעודיות לביצועים גבוהים. כדי לשרוד השבתות תשתית — כמו זו שספג הבוטנט בדצמבר 2025 — התוקפים הוסיפו מנגנוני חיבור עמידים: שאילתות ל-Ethereum Name Service דרך חמישה ספקי RPC ציבוריים של אתריום, וכתובת גיבוי ברשת Tor. כל תעבורת השליטה מנותבת דרך פרוקסי מקומי במכשיר הנגוע.
נקודות לשים לב
- ארגונים שמפעילים תיבות Android TV או ממירים ברשת הארגונית צריכים להתייחס אליהם כמכשירים לא מהימנים ולבודד אותם מהרשת הפנימית, כפי שממליצים חוקרי Unit 42.
- ודאו שיציאת ADB (5555) סגורה כלפי האינטרנט במכשירי אנדרואיד ו-IoT — זהו וקטור ההדבקה המרכזי של הבוטנט.
- מנגנוני הגנה מפני DDoS שמסתמכים על זיהוי חתימה או הגבלת קצב עלולים לפספס תעבורה שמדמה במדויק דפדפן אמיתי; שקלו שילוב שכבות זיהוי התנהגותיות נוספות.
- תקשורת יוצאת חריגה לספקי RPC של אתריום או לרשת Tor ממכשירי IoT או Android TV יכולה להיות סימן להדבקה — שווה לבדוק בלוגים.
- גם השבתת תשתית קודמת לא עצרה את הבוטנט לאורך זמן — סימן שנדרשת גם הגנה ברמת המכשיר, לא רק חסימת דומיינים.
מקורות: Unit 42 – Palo Alto Networks · The Hacker News
₿ אהבת את הפוסט?
אפשר לשלוח לי ביטקוין ישירות לכתובת שלי. סרקו את הקוד, או העתיקו את הכתובת:
bc1qsn043qmlv4ejxydeknkfm9u6e93e6tegmq9x85
שימו לב: העברה on-chain כרוכה בעמלת רשת שאינה תלויה בסכום, ולכן סכומים קטנים מאוד אינם כדאיים.
