Palo Alto Networks Unit 42 menemukan Kimwolf v7 pada 3 Februari 2026 selama threat hunting pasca-pengungkapan aktivitas botnet versi sebelumnya. Versi baru ini meningkatkan kemampuan DDoS dan ketahanan infrastruktur command-and-control dari botnet yang telah menargetkan Android TV box sejak Agustus 2025, dengan lebih dari 1,8 juta perangkat terinfeksi dan lebih dari 1,7 miliar perintah serangan DDoS yang diterbitkan. Tujuan inti operator tetap sama — membangun platform DDoS berskala besar — namun metode untuk menyembunyikan lalu lintas serangan telah menjadi jauh lebih canggih.
APA YANG TERJADI?
Kimwolf v7 menambahkan HTTP/2-based DDoS flood yang mengonstruksi fingerprint browser Chrome lengkap, membuat lalu lintas serangan lebih sulit dibedakan dari browsing sah. Library nghttp2 mendayai flood HTTP/2 dan membangun header yang mencerminkan perilaku browser Chrome di level protokol, sehingga rate-limiting dan mitigasi DDoS berbasis fingerprint menjadi jauh lebih sulit. Selain itu, botnet menggunakan Ethereum Name Service (ENS) untuk menyelesaikan alamat server perintahnya, mengquery lima endpoint RPC blockchain publik yang diacak sebelum setiap percobaan — sehingga memblokir satu endpoint hampir tidak berarti.
Botnet juga membawa hidden service Tor .onion sebagai cadangan dan arsitektur proxy lokal untuk routing fleksibel antara clearnet dan Tor. Struktur tiga tingkat (ENS, Tor, proxy lokal) adalah respons langsung terhadap dua takedown yang diderita botnet pada Desember 2025. Proxy lokal pada 127.0.0.1:23075 merutekan semua lalu lintas C2 melalui alamat yang sama terlepas dari tujuannya, sehingga komponen proxy dapat diperbarui secara independen tanpa perlu redeploy binary bot utama.
DETAIL TEKNIS
Kimwolf menyebar dengan menyalahgunakan layanan proxy residensial untuk mencapai Android TV box yang dikirim dengan Android Debug Bridge (ADB) diaktifkan pada port 5555. Setelah ter-tunneled ke jaringan lokal melalui endpoint proxy, penyerang dapat menginstal malware tanpa autentikasi apa pun. Botnet menyamarkan dirinya sebagai “netd_service” untuk menyatu dengan proses sistem Android yang sah. Unit 42 menemukan delapan paket APK yang didistribusikan antara Oktober dan Desember 2025, menyamar sebagai layanan sistem bernama SystemService.
Versi 7 juga menghapus semua fungsionalitas scanning, exploitation, dan brute-force dari binary utama — operator telah memisahkan pipeline propagasi dari inti DDoS. External loader kini menangani initial access, sementara binary Kimwolf menangani serangan dan berfungsi sebagai relay. Jumlah metode serangan dikonsolidasi dari 43 perintah bernama teks pada versi sebelumnya menjadi 15 metode bernomor yang mencakup layer 3 hingga 7, termasuk HTTP/2 flood baru, UDP flood berperforma tinggi dengan akselerasi ARM NEON SIMD yang dioptimalkan untuk prosesor Android TV box, dan TLS/HTTPS flood. Unit 42 mengelompokkan infrastruktur C2 pada 22 alamat IP di Saint Petersburg, Rusia, yang semuanya berbagi SSH host key yang sama.
DAMPAK TERHADAP INDONESIA
Indonesia memiliki populasi pengguna perangkat Android TV dan set-top box yang sangat besar, dengan banyak perangkat murah yang dikirim dari pabrikan tanpa hardening keamanan yang memadai. ADB yang diaktifkan secara default pada perangkat murah adalah pintu masuk yang sama persis seperti yang dieksploitasi Kimwolf. Lebih jauh, adopsi DNS over TLS dan penggunaan layanan proxy untuk bypass pembatasan lokal menjadikan infrastruktur internet Indonesia sebagai target potensial — baik sebagai korban infeksi maupun sebagai sumber traffic DDoS yang tidak disadari. Botnet dengan skala 1,8 juta perangkat dapat menghasilkan serangan DDoS hyper-volumetrik yang mencapai puluhan Tbps, sebagaimana terlihat pada serangan rekor 31,4 Tbps yang dikaitkan dengan botnet terkait AISURU pada November 2025.
REKOMENDASI MITIGASI
Unit 42 menyarankan untuk memperlakukan Android TV box sebagai perangkat tidak tepercaya dan menyegmentasikannya dari jaringan enterprise. Menonaktifkan ADB atau membatasinya ke akses USB-only menghilangkan cara utama botnet ini menginfeksi perangkat. Untuk deteksi, pantau koneksi HTTPS outbound ke endpoint RPC Ethereum dari perangkat yang seharusnya tidak berhubungan dengan layanan blockchain, aktivitas Tor circuit atau traffic SOCKS5 proxy dari TV box, koneksi ke localhost port 23075, dan proses bernama “netd_service” pada perangkat konsumen Android. Produsen perangkat di Indonesia perlu mengaudit konfigurasi default dan memastikan ADB tidak diaktifkan pada perangkat yang dikirim ke konsumen akhir.
Analisa Retasan
Root cause dari efektivitas Kimwolf v7 adalah kombinasi tiga teknik evolusi: obfuscation traffic, obfuscation C2, dan obfuscation proses. HTTP/2 flood dengan Chrome browser fingerprinting mengubah lalu lintas DDoS menjadi traffic yang pada level protokol tidak dapat dibedakan dari browsing sah — ini adalah peningkatan signifikan dari DDoS flood HTTP/1.1 yang mudah dikenali. Ethereum ENS sebagai resolver C2 menghilangkan titik kegagalan domain tradisional; Tor .onion sebagai lapisan kedua menghilangkan dependensi pada DNS; dan proxy lokal sebagai lapisan ketiga memisahkan binary bot dari perubahan infrastruktur. Arsitektur tiga tingkat ini dirancang secara eksplisit untuk tahan takedown.
Cross-reference dengan evolusi botnet IoT lain menunjukkan pola yang konsisten: pemisahan fungsi menjadi komponen modular, peningkatan stealth pada layer protokol, dan pemanfaatan infrastruktur yang tahan sensor (blockchain, Tor). Kimwolf v7 sejajar dengan tren EtherHiding pada malware Windows yang menggunakan smart contract blockchain untuk C2. Pemisahan pipeline propagasi dari inti serangan juga mencerminkan praktik software engineering modern — dalam konteks botnet, ini berarti setiap komponen dapat diperbarui, diganti, atau disewakan secara independen, mendukung model malware-as-a-service.
Bagi Indonesia, Kimwolf adalah ancaman yang sangat relevan karena dua alasan: maraknya perangkat Android TV murah dengan konfigurasi default yang lemah, dan ketergantungan pada infrastruktur internet yang rentan terhadap serangan DDoS skala besar. Sektor fintech dan e-commerce Indonesia yang bergantung pada ketersediaan layanan dapat menderita kerugian besar dari serangan DDoS yang diluncurkan oleh botnet semacam ini. Pendekatan deteksi harus bergeser dari signature-based ke behavioral: mencari traffic HTTP/2 yang mencurigakan dari perangkat yang seharusnya tidak memiliki browser aktif, dan monitoring koneksi ke layanan blockchain dari TV box. Produsen perangkat lokal dan importir berkewajiban untuk mengaudit default security posture perangkat yang mereka pasarkan — karena satu perangkat yang rentan dapat menjadi bagian dari armada yang menghancurkan ketersediaan layanan nasional.
Sumber: SecurityAffairs — Kimwolf v7 Hides DDoS Traffic Behind Chrome Fingerprints and Ethereum
