Androidボットネット「Kimwolf v7」が判明、正規ブラウザに偽装したHTTP/2 DDoS攻撃や分散型C2を採用

要点

• パロアルトネットワークスのUnit 42が、AndroidやIoT機器を標的とするボットネット「Kimwolf」の最新版「Kimwolf v7」を確認した。

• nghttp2ライブラリを用いて正規ブラウザの特徴を忠実に模倣するHTTP/2 DDoS攻撃機能を新たに搭載し、通信の検知を困難にしている。

• 指令サーバーの特定や停止を防ぐため、Ethereum Name Service（ENS）やTorの隠しサービスを組み合わせた多層構造を導入した。

• スキャンや脆弱性悪用の機能を本体から切り離して外部ローダーへ移すなど、攻撃機能の特化と検知回避を進めている。

• 米Palo Alto Networksの脅威インテリジェンス部門であるUnit 42は、Android端末やIoT機器を狙うボットネットマルウェアの最新版「Kimwolf v7」を発見したと発表した。Kimwolfは不正に制御された大量の端末から一斉に通信を送りつける分散型サービス妨害（DDoS）攻撃を行う脅威で、最新版では正規のウェブ閲覧に偽装する高度な攻撃手法や、停止措置（テイクダウン）を回避する強固な管理基盤が導入されているという。

正規ブラウザの通信を模倣する新たなDDoS攻撃手法

Unit 42のリサーチャーであるAsher Davila氏、Chris Navarrete氏、Doel Santos氏らによると、Kimwolf v7における最大の変更点は、nghttp2ライブラリを活用したHTTP/2ベースのDDoS攻撃機能の追加にある。

従来の単純なトラフィック送信とは異なり、攻撃対象へ送信するデータにおいて、プロトコル仕様や通信ヘッダーの構成に至るまで正規ブラウザの挙動を精密に再現した「ブラウザフィンガープリント（端末や通信環境を識別する特徴情報）」を構築する。これにより、防御側のシステムが攻撃トラフィックと一般的なユーザーによる正当なウェブ閲覧とを区別することが極めて困難になったという。

また、DDoS攻撃の制御命令についても効率化が図られている。旧バージョンでは43種類のテキスト名で管理されていた攻撃コマンドが、15種類の番号指定方式へと統合・整理された。さらに、Android TV端末で広く採用されているARMプロセッサに最適化された高性能なUDPフラッド機能も実装されている。

ENSやTorを組み合わせた指令インフラの多層化

Kimwolf v7は、攻撃者がマルウェアへ命令を送る指令サーバー（C2サーバー）の運用耐性を大幅に強化している。テイクダウンへの対抗策として、複数の階層からなる仕組みが採用された。

第一の経路として、正規の公開Ethereum RPCサービスを利用してEthereum Name Service（ENS：ブロックチェーン上にドメイン情報を記録する技術）のレコードを問い合わせ、C2サーバーのアドレスを解決する手法が用いられている。さらに、ブロックチェーン経由のアクセスが遮断された場合に備え、バイナリ内部にTorの隠しサービス（.onionアドレス）がバックアップとしてハードコードされている。

マルウェア内部ではローカルプロキシが構築されており、通常のインターネット（クリアネット）宛てかTor宛てかを問わず、すべてのC2向け通信が内部ポートを経由してルーティングされる設計となっている。

感染パイプラインの分離とAndroid TVへの侵入経路

設計面におけるもうひとつの重要な変化は、本体バイナリからネットワークスキャン、脆弱性悪用、総当たり攻撃（ブルートフォース）の各モジュールが完全に排除された点である。

Unit 42は、攻撃者が初期侵入を担う外部ローダーと、侵入後に展開されるメインペイロードを明確に分離したと分析している。本体のKimwolfバイナリは、DDoS攻撃の実行や不正通信の中継（プロキシリレー）という中核機能に特化する構造へと再編された。

Kimwolfは少なくとも2024年半ばから活動が確認されており、Linux IoTデバイスを標的とする別名「AISURU」としても知られている。特に2025年8月以降は、一般家庭のネットワーク上で管理機能であるAndroid Debug Bridge（ADB）のポート5555が初期状態で開放されているAndroid TV端末を集中的に標的としてきた。攻撃者は住宅用プロキシ（レジデンシャルプロキシ）を悪用して内部ネットワークへ到達し、マルウェアを感染させる手口を用いている。

端末へ侵入したマルウェアは、検知を避けるために netd_service など正規のAndroidシステムプロセス名を騙って動作する。

APKパッケージの偽装と開発の変遷

調査では、2025年10月から12月にかけて配布された8種類の不正なAndroid用APKパッケージが確認された。これらは SystemService という名称のシステムサービスに偽装し、端末の管理者権限（root権限）の取得を試みた上で、内部に含まれるELF形式の実行ファイルを起動する仕組みを持っていた。

初期に投下された検体では「Dirty COW」と呼ばれるLinuxの脆弱性を悪用してx86アーキテクチャを狙っていたことから、Unit 42は、従来のLinux脆弱性攻撃から現在のADBを悪用したAndroid拡散モデルへと手法が進化したと指摘している。また、読み込まれる共有ライブラリの名称が2025年11月に目立たない libdevice.so へ変更され、翌12月には再び元に戻されるなど、検知を避けるための試行錯誤（OPSECの調整）が継続的に行われている実態も判明した。

相次ぐボットネットの多様化と活発化

近年、サイバーセキュリティの現場では、異なるアプローチを持つ新たなボットネットファミリーが相次いで観測されている。

• AryStinger: 古いホームルーターを標的とし、分散型の偵察活動やプロキシネットワークとして悪用する。
• RustDuck: プログラミング言語Rustで再構築され、ルーターやIPカメラ、Android端末、設定の不備なサーバーを乗っ取ってDDoS攻撃を展開する。
• NadMesh: RedisやDockerに加え、MCP、Kubernetes、ComfyUI、Ollama、n8n、Open WebUI、Langflow、GradioといったAI基盤や自動化ツールを自律的に探索・攻撃し、認証情報や設定を窃取する。
• Tengu: Miraiから派生し、Telnetへの総当たり攻撃を通じてLinux機器を掌握、DoS攻撃やプロキシ化を行う。

Unit 42は、Kimwolf v7について「すでに大規模化していたボットネットが、より明確な目的を持って進化を遂げた姿である」と評価し、組織や管理者に対してAndroid TV端末を信頼できない機器として警戒・管理するよう警鐘を鳴らしている。