1. Een nieuwe versie van een botnet, grotendeels aangedreven door gekaapte Android TV-boxen en andere internet-verbonden apparaten, is sinds februari 2026 actief.
2. Dit botnet, genaamd Kimwolf, splitste zich vorig jaar af van het Aisuru DDoS-botnet.
3. In oktober 2025 kreeg Kimwolf brede aandacht van beveiligingsonderzoekers toen het tijdelijk de eerste plaats in Cloudflare's wereldwijde domeinranglijsten innam.
4. Eerdere versies van het botnet werden in maart 2026 ontwricht door een internationale wetshandhavingsoperatie, wat resulteerde in de inbeslagname van Kimwolf's infrastructuur.
5. Een Canadese man, die naar verluidt het botnet runde, werd in mei 2026 gearresteerd en uitgeleverd aan de Verenigde Staten.
6. De nieuwste versie van het botnet is ontworpen om aanvalverkeer te laten opgaan in gewoon webbrowsen en om de command-and-control kanalen te beschermen tegen inbeslagname door wetshandhavers.
7. De meest significante verandering is een nieuwe overstromingsmethode gebaseerd op HTTP/2.
8. De nieuwe Kimwolf-versie werkt met volledige browser fingerprints, waarbij de volgorde van headers en het gedrag van de Chrome-webbrowser worden nagebootst.
9. Een tweede verandering is bedoeld om bestand te zijn tegen verdere ontwrichting.
10. Het botnet zoekt nu zijn command-and-control adres op in de Ethereum Name Service, een directory op de Ethereum-blockchain.
11. Het botnet gebruikt vijf publieke Ethereum-services en wisselt de volgorde voor elke poging.
12. Als alle vijf de adressen falen, valt het botnet terug op een vast Tor hidden service-adres dat in de code is geschreven.
13. Infrastuursanalyse wijst erop dat de machines die de command-and-control structuur aandrijven zich in Rusland bevinden.
14. Vier van deze servers deelden een SSH-hostkey, en verdere analyse toonde aan dat de servers zich in één netwerk in Sint-Petersburg bevinden.
15. Het is onduidelijk of deze versie is gemaakt door de oorspronkelijke ontwikkelaars of door een nieuwe partij.