Kimwolf v7: Malware infiziert Millionen Android-TV-Boxen für DDoS
Veröffentlicht am: 11.08.2026 um 19:22 Uhr | Redaktion boerse-global.de
Sicherheitsforscher der Unit 42 von Palo Alto Networks haben eine großangelegte Kampagne identifiziert, bei der Android-TV-Boxen aktiv mit Malware infiziert werden. Ziel der Angriffe ist es, die Geräte in ein Botnet einzugliedern, um koordinierte Cyberangriffe durchzuführen. Die Experten stellten fest, dass die Angreifer dabei gezielt Schwachstellen in der Konfiguration der Endgeräte sowie spezielle Proxy-Software ausnutzen, um die Kontrolle über die Hardware zu erlangen.
Infektionsweg über offene Schnittstellen und Proxy-Software
Den Analysen der Sicherheitsforscher zufolge erfolgt die Infektion der Android-TV-Boxen primär über den Port 5555 der Android Debug Bridge (ADB). Dieser Port wird von den Angreifern ohne vorherige Authentifizierung genutzt, um bösartigen Code direkt auf den Geräten zu installieren. Neben der Ausnutzung dieser technischen Schnittstelle kommt laut Unit 42 auch Residential-Proxy-Software zum Einsatz, um den Infektionsprozess zu unterstützen.
Sobald ein Gerät erfolgreich kompromittiert wurde, wird es Teil des sogenannten Kimwolf-Botnets. Dieses Netzwerk dient nach Angaben der Forscher vor allem dazu, verteilte Überlastungsangriffe (Distributed Denial of Service, DDoS) durchzuführen. Die betroffenen TV-Boxen fungieren dabei als ferngesteuerte Knotenpunkte, die massenhafte Anfragen an Zielserver senden, um diese lahmzulegen.
Technische Details der Version Kimwolf v7
Die Forscher entdeckten die aktuelle Version des Botnets, Kimwolf v7, bereits Anfang Februar dieses Jahres. Diese Variante weist im Vergleich zu früheren Versionen erhebliche technische Erweiterungen auf. So wurde das Botnet um eine HTTP/2-DDoS-Flood-Funktion ergänzt, die zudem Browser-Fingerprints nutzt, um Sicherheitsmechanismen der Zielseiten zu umgehen.
Der aktuelle Fall der manipulierten Android-Systeme zeigt, wie schnell private Hardware zum Ziel von Cyberkriminellen werden kann. In diesem kostenlosen Ratgeber erfahren Sie, wie Sie Ihre Android-basierten Geräte mit einfachen Schritten vor Hackerangriffen und Malware schützen. 5 Schutzmaßnahmen jetzt entdecken
Ein besonderes Merkmal der Malware ist ihre Widerstandsfähigkeit gegen Abschaltungsversuche. Kimwolf v7 nutzt fünf verschiedene Ethereum-ENS-Endpoints für die Kommunikation mit den Steuerungs-Servern (Command-and-Control). Als zusätzliche Absicherung und Backup-Ebene integrierten die Entwickler der Malware zudem Tor .onion-Adressen, um die Infrastruktur des Botnets vor einer Entdeckung oder Deaktivierung zu schützen.
Historische Entwicklung und internationaler Behördenschlag
Die Ursprünge der Malware lassen sich bis in den Sommer 2024 zurückverfolgen. Laut den Untersuchungen von Unit 42 war das Botnet zunächst unter dem Namen AISURU aktiv. Im August des darauffolgenden Jahres erfolgte ein strategischer Wechsel der Angreifer hin zur gezielten Infektion von Android-basierten Systemen.
Die Entdeckung der aktuellen Aktivitäten steht im Kontext einer größeren internationalen Polizeiaktion. Behörden aus den USA, Deutschland und Kanada ist es gelungen, insgesamt vier Botnets – namentlich Aisuru, KimWolf, JackSkid und Mossad – zu zerschlagen. Diese Netzwerke hatten zusammen etwa 3 Millionen Geräte infiziert. Zu den Zielen der kriminellen Infrastruktur gehörten unter anderem Websites des US-Verteidigungsministeriums.
Wer sich mit der Absicherung seiner Android-Technik befasst, sollte die Bedeutung von Systemaktualisierungen nicht unterschätzen. Dieser kostenlose Leitfaden erklärt verständlich, wie Sie Sicherheitslücken schließen und automatische Updates richtig nutzen, um kriminelle Zugriffe dauerhaft zu verhindern. Kostenlosen Sicherheits-Ratgeber herunterladen
Empfehlungen zur Absicherung betroffener Geräte
Angesichts der anhaltenden Bedrohung durch die Kimwolf-Malware betonen Sicherheitsexperten die Notwendigkeit präventiver Maßnahmen für Besitzer von Android-TV-Boxen. Palo Alto Networks empfiehlt dringend, die ADB-Funktion in den Geräteeinstellungen vollständig zu deaktivieren. Sollte die Nutzung dieser Schnittstelle für Entwicklungszwecke zwingend erforderlich sein, müsse der Zugriff zwingend auf eine physische USB-Verbindung beschränkt werden, um einen unbefugten Fernzugriff über das Netzwerk zu verhindern.
Durch die korrekte Konfiguration der Geräte könne das Risiko, Teil einer kriminellen Infrastruktur für DDoS-Angriffe zu werden, erheblich minimiert werden. Die Forscher weisen darauf hin, dass die ungesicherte Offenlegung von Port 5555 im Internet ein kritisches Sicherheitsrisiko darstellt, das von automatisierten Scan-Tools der Botnet-Betreiber kontinuierlich ausgenutzt wird.
