За пеленой новогодних праздников мало кто заметил, но XLab совершили важное открытие, развернуто детализированное в двух лонгридах ИБ-журналистом Брайаном Кребсом.
XLab подробно описали новый суперботнет Kimwolf, который стремительно заражает телеприставки и телевизоры на Android — и уже «зомбировал» порядка 2 млн устройств.
Исследователи нашли доказательства, что за Kimwolf стоят те же люди, что и за суперботнетом AISURU, который несколько раз побил мировые рекорды (мы писали о нем на Хабре развернутую статью). У обоих ботнетов оказалась общая база кода; совместная дистрибуция через одни и те же IP-адреса; совпадения в распространении вредоносных пакетов и так далее.
По данным Кребса и XLab, с начала 2025 года Kimwolf управляют хакеры Дорт и Сноу. Сноу ранее уже был известен как оператор AISURU, а Дорт, по словам Кребса, также упоминался другим оператором AISURU — Форки — в их личной переписке.
Оказалось, что ботнет Kimwolf использует практически все (96%) зараженные устройства как трафик-релеи для нескольких сервисов прокси, в том числе легальных SDK ByteConnect и Maskify (владельцы этих сервисов пока не дали комментариев СМИ). В схеме по проксированию и перепродаже трафика оказалась также замешана американская компания Resi Rack LLC, «премиум-хостинг игровых серверов и прокси-решений» (представители компании отрицают свою причастность).
Таким образом, коммерческий смысл в существовании AISURU/Kimwolf все же нашелся — оба ботнета оказались частью более широкой инфраструктуры, включавшей прокси-сети, SDK-монетизацию и коммерческие предложения прокси-трафика. Как минимум частично в эту схему было вовлечено несколько легальных поставщиков прокси-услуг.