Pesquisadores identificaram uma botnet Android chamada Kimwolf que, segundo análises, comprometeu cerca de 1,8 milhão de dispositivos em 222 países, com a maior parcela concentrada no Brasil (14,63%). O relatório técnico descreve um conjunto sofisticado de capacidades de DDoS, proxy e persistência por meio de payload nativo.
Descoberta e escopo
O grupo de pesquisa Xlab Qianxin recebeu a amostra inicial em outubro de 2025 e, a partir da análise do binário nativo (compilado com Android NDK), estimou o alcance global em aproximadamente 1,8 milhão de dispositivos. Entre os alvos estão smart TVs, set‑top boxes, tablets e outros dispositivos Android‑based.
Vetor técnico e mecanismos de evasão
Kimwolf opera através de um APK que extrai e executa um binário nativo disfarçado de serviço de sistema. Para ocultar comunicações de monitoramento, o malware criptografa domínios de comando e usa DNS over TLS (DoT) na porta 853 para resolver endereços de C2, além de empregar TLS no canal com um formato de Header‑Body fixo e checagens CRC32.
Autenticação e resiliência da infraestrutura
O protocolo de controle inclui um handshake em três estágios (registro, verificação e confirmação) e utiliza assinaturas digitais baseadas em curvas elípticas para validar comandos, mecanismo projetado para evitar takedown não autorizado da infraestrutura de C2. Pesquisadores automatizaram a descriptografia de strings embutidas e encontraram múltiplos domínios C2 ocultos no binário.
Capacidades e impacto operacional
Entre 19 e 22 de novembro a botnet emitiu cerca de 1,7 bilhão de comandos de DDoS e suporta pelo menos 13 métodos de ataque (UDP floods, TCP SYN, SSL socket, entre outros), o que a torna uma plataforma versátil para campanhas de negação de serviço em larga escala.
Brasil e implicações
Com 14,63% da base estimada de dispositivos comprometidos localizada no Brasil, operadores de rede e provedores de serviços no país devem priorizar identificação de endpoints com tráfego DNS/DoT suspeito, revisão de dispositivos IoT/Android embarcados e esforços de coordenação com ISPs para mitigação. O relatório original não detalha vetores de entrega em massa (por exemplo, lojas de apps legítimas) — essa informação falta e limita a recomendação de ações corretivas específicas por atacado.
Recomendações práticas
- Bloquear/monitorar resoluções DoT suspeitas e domínios indicados pelo relatório técnico.
- Atualizar inventário de dispositivos Android em redes corporativas; isolar dispositivos embarcados vulneráveis.
- Implementar filtros de tráfego e mitigação de DDoS em perímetros críticos.
- Investigar sinais de proxy reverso ou canais TLS persistentes originados de dispositivos clientes.
Fontes
Relatório técnico e análise publicados por Xlab Qianxin e sumários em veículos de segurança que documentaram estatísticas de alcance e capacidades do Kimwolf.