Saldırının Genel Çerçevesi
Kimwolf botneti, Android işletim sistemine sahip TV kutuları, set üstü kutular ve tabletlerden oluşan yaklaşık 1,8 milyon cihazı hedef alarak büyük çaplı DDoS saldırıları gerçekleştiriyor. 19-22 Kasım 2025 tarihleri arasında üç gün içinde 1,7 milyar DDoS komutu gönderdiği tahmin edilen botnet, özellikle konut ağlarında kullanılan cihazları enfekte ediyor. En çok etkilenen ülkeler arasında Brezilya, Hindistan, ABD, Arjantin, Güney Afrika ve Filipinler bulunuyor.
Hangi Sistemler Risk Altında?
Kimwolf’un hedef aldığı cihazlar arasında TV BOX, SuperBOX, HiDPTAndroid, P200, X96Q, XBOX, SmartTV ve MX10 gibi Android tabanlı TV kutuları yer alıyor. Bu cihazlar genellikle ev kullanıcılarının geniş bant ağlarında bulunuyor. Enfeksiyonun yayılma yöntemi henüz netleşmemiş olsa da, botnetin NDK (Native Development Kit) kullanılarak geliştirildiği ve komut & kontrol (C2) sunucularıyla TLS üzerinden şifreli iletişim kurduğu biliniyor.
Saldırı Zinciri ve Teknik Detaylar
Kimwolf, enfekte cihazlarda tek bir işlem örneğinin çalışmasını sağlayarak C2 sunucularından komut alıyor. Komutlar UDP, TCP ve ICMP protokolleri üzerinden 13 farklı DDoS saldırı yöntemini kapsıyor. Botnet, proxy yönlendirme, ters kabuk ve dosya yönetimi gibi ek fonksiyonlar da içeriyor. Ayrıca, Ethereum Name Service (ENS) tabanlı “pawsatyou.eth” alan adı ve ilişkili akıllı sözleşme kullanılarak gerçek C2 IP adresleri EtherHiding tekniğiyle gizleniyor. Bu teknik, IPv6 adresinden XOR işlemiyle gerçek IP’yi elde etmeye dayanıyor.
Kimwolf, AISURU adlı başka bir kötü amaçlı yazılım botnetiyle kod ve altyapı paylaşıyor. Her iki botnetin aynı hacker grubuna ait olduğu ve aynı enfeksiyon betikleriyle yayıldığı belirtiliyor. Bu durum, saldırıların karmaşıklığını ve tespit zorluklarını artırıyor.
Sistem Yöneticileri ve SOC Ekipleri İçin Öneriler
- Android tabanlı TV ve IoT cihazlar için düzenli güvenlik yamalarını uygulayın.
- Botnet C2 iletişimlerini tespit etmek için DNS-over-TLS ve TLS trafiğini analiz edin.
- Proxy ve ters kabuk bağlantılarını engellemek için ağ segmentasyonu ve firewall kuralları oluşturun.
- Şüpheli ağ trafiği ve anormal DDoS komutlarını SIEM sistemleriyle izleyin.
- Enfekte cihazların tespiti için EDR çözümlerinde özel kurallar geliştirin.
- IoT cihazlarında IAM politikalarını güçlendirerek yetkisiz erişimleri engelleyin.
- Olay müdahale planlarında botnet kaynaklı saldırılara yönelik senaryoları dahil edin.
- ByteConnect SDK gibi üçüncü taraf yazılımların cihazlarda kullanımını kontrol altında tutun.
Kimwolf Botnetinin Siber Güvenlikteki Yeri
2016 yılında Mirai botnetiyle başlayan büyük IoT enfeksiyonları, son yıllarda Kimwolf, Badbox, Bigpanzi ve Vo1d gibi yeni varyantlarla devam ediyor. Bu botnetler milyonlarca cihazı hedef alarak hem DDoS saldırıları hem de proxy hizmetleriyle saldırganlara gelir sağlıyor. Kimwolf’un özellikle Android TV kutularını hedeflemesi, ev ağlarının güvenlik açıklarını gözler önüne seriyor. Bu durum, e-posta güvenliği, ağ segmentasyonu ve bulut güvenliği gibi alanlarda bütüncül yaklaşımların önemini artırıyor.