Una masiva botnet dirigida a dispositivos Android ha surgido como una de las amenazas más significativas en el panorama de la ciberseguridad actual. Nombrada Kimwolf, este sofisticado malware ha comprometido aproximadamente 1.8 millones de dispositivos Android en todo el mundo, incluyendo televisores inteligentes, decodificadores, tabletas y otros sistemas basados en Android. 

Una enorme botnet que se dirige a dispositivos Android ha surgido como una de las amenazas más importantes en el panorama de la ciberseguridad actual.

Nombrada Kimwolf, este sofisticado malware ha comprometido aproximadamente 1.8 millones de dispositivos Android en todo el mundo, incluyendo smart TVs, decodificadores, tablets y otros sistemas basados en Android.

Los investigadores de seguridad descubrieron la botnet cuando un socio comunitario de confianza proporcionó la muestra inicial en octubre de 2025, la cual usaba un dominio de comando y control clasificado como el segundo en las clasificaciones de popularidad de dominios globales de Cloudflare. 

El alcance de la botnet se extiende a través de 222 países y regiones, con la mayor concentración de dispositivos infectados en Brasil (14.63%), India (12.71%) y Estados Unidos (9.58%).

Los dispositivos infectados están distribuidos en múltiples zonas horarias en todo el mundo, lo que dificulta un monitoreo exhaustivo.

La escala de esta operación demuestra la capacidad de los atacantes para construir y mantener una enorme infraestructura de red capaz de lanzar ciberataques destructivos a nivel mundial.

Los analistas de Xlab Qianxin identificaron Kimwolf como una botnet altamente sofisticada compilada usando el Android NDK, incorporando capacidades típicas de ataques DDoS junto con el reenvío de proxy, shell inverso y funciones de gestión de archivos.

El malware emplea técnicas avanzadas de evasión raramente observadas en amenazas similares, incluyendo el protocolo DNS over TLS (DoT) para eludir los sistemas de detección de seguridad tradicionales y protección de firma digital basada en curvas elípticas para la verificación de comandos.

Mecanismo de infección

El mecanismo de infección revela detalles técnicos interesantes sobre cómo Kimwolf persiste en los dispositivos comprometidos. El malware opera a través de un archivo APK que extrae y ejecuta una carga útil binaria nativa disfrazada de servicios del sistema legítimos.

Al ejecutarse, crea un socket de dominio Unix nombrado según la versión de la botnet para asegurar que solo una instancia se ejecute simultáneamente en cada dispositivo.

El malware luego descifra dominios de comando y control incrustados y usa el protocolo DoT para consultar servidores DNS públicos en el puerto 853 para obtener direcciones IP C2 reales, ocultando así sus patrones de comunicación de las herramientas de monitoreo de red.

Para descifrar datos sensibles, incluyendo direcciones C2, Kimwolf emplea operaciones XOR de pila en cadenas cifradas. Los investigadores automatizaron con éxito el proceso de descifrado usando técnicas de emulación, descubriendo múltiples dominios C2 ocultos incrustados dentro del binario.

La comunicación de red del malware siempre usa el cifrado TLS con un formato fijo de Header Body que contiene valores mágicos, tipos de mensajes, IDs y sumas de comprobación CRC32.

La comunicación entre los bots infectados y la infraestructura C2 sigue un sofisticado mecanismo de enlace de tres etapas que involucra las fases de registro, verificación y confirmación.

La fase de verificación implementa algoritmos de firma digital de curva elíptica, asegurando que solo los comandos autenticados de los servidores C2 legítimos se ejecuten. Esta medida de seguridad fue diseñada específicamente para prevenir desmantelamientos no autorizados de la infraestructura de la botnet.

Entre el 19 y el 22 de noviembre, Kimwolf demostró sus agresivas capacidades emitiendo 1.7 mil millones de comandos de ataque DDoS dirigidos a diversas direcciones IP globalmente.

La botnet soporta 13 diferentes métodos de ataque DDoS, incluyendo inundaciones UDP, inundaciones TCP SYN y ataques de socket SSL, proporcionando a los atacantes opciones versátiles para diferentes escenarios de destino.

Fuentes:
https://cybersecuritynews.com/kimwolf-android-botnet-hijacked/