کمیته رکن چهارم – باتنت جدید Kimwolf با بهرهگیری از سرویس ADB و پروکسیهای مسکونی، تاکنون بیش از ۲ میلیون دستگاه اندرویدی را در سراسر جهان آلوده کرده و از آنها برای حملات سایبری و فروش پهنای باند استفاده میکند.
به گزارش کمیته رکن چهارم، پژوهشگران امنیتی شرکت Synthient هشدار دادهاند که باتنت Kimwolf با آلودهسازی میلیونها دستگاه اندرویدی، تهدیدی جدی و چندوجهی در فضای سایبری ایجاد کرده است. این بدافزار با سوءاستفاده از قابلیت ADB فعال در برخی دستگاهها و همکاری با زیرساختهای پروکسی، دستگاههای قربانی را به ابزار حملات DDoS و استخراج درآمد از پهنای باند تبدیل میکند.
تحلیلها نشان میدهد Kimwolf نسخه اندرویدی باتنت AISURU است که فعالیت آن از مرداد ۱۴۰۴ آغاز شده و اولینبار توسط QiAnXin XLab شناسایی شده است. تمرکز عمده آلودگیها در کشورهای ویتنام، برزیل، هند و عربستان سعودی گزارش شده است.
این باتنت پس از نفوذ، دستگاه را به یک گره فعال در شبکهای عظیم تبدیل میکند که در آن از کاربران بیخبر برای ارسال ترافیک مخرب، حملات credential stuffing، و میزبانی پراکسیهای درآمدزا استفاده میشود. در هر هفته، بهطور میانگین ۱۲ میلیون آدرس IP منحصربهفرد مرتبط با این شبکه مشاهده شدهاند.
Kimwolf عمدتاً دستگاههایی را هدف قرار میدهد که سرویس Android Debug Bridge (ADB) بدون احراز هویت در آنها فعال است. تحلیلگران بر این باورند که بسیاری از تلویزیونها و ستتاپباکسهای غیررسمی که به SDKهای مشکوک مجهز هستند، بدون اطلاع کاربران به این شبکه آلوده شدهاند.
در آذر ۱۴۰۴، مشخص شد که Kimwolf از آدرسهای IP شرکت چینی IPIDEA برای انتشار استفاده کرده است. IPIDEA پس از آن، وصلهای برای مسدودسازی دسترسی به شبکههای محلی و پورتهای حساس منتشر کرد. این شرکت ادعا دارد که روزانه ۶.۱ میلیون IP را بهروزرسانی میکند و ۶۹ هزار IP جدید ارائه میدهد.
مدل درآمدی Kimwolf ترکیبی از نصب اپلیکیشنهای سودآور، فروش پهنای باند از طریق SDKهایی مانند Byteconnect، و فروش خدمات حمله DDoS است. قیمتهای اعلامشده شامل ۰.۲۰ سنت بهازای هر گیگابایت و تا ۱۴۰۰ دلار در ماه برای دسترسی نامحدود گزارش شدهاند.
کارشناسان هشدار میدهند که همکاری بین توسعهدهندگان SDKهای پروکسی و مهاجمان Kimwolf نشاندهنده الگوی جدیدی از تهدیدات زنجیره تأمین و سوءاستفاده از سختافزارهای مصرفی است.
برای کاهش ریسک، اقدامات زیر توصیه میشود:
-
غیرفعالسازی ADB در دستگاههایی که استفادهای از آن ندارند
-
مسدودسازی دسترسی به IPهای خصوصی و پورتهای حساس توسط ارائهدهندگان پروکسی
-
استفاده از لیست سفید IP، فایروال و پایش ترافیک خروجی در شبکههای سازمانی
-
بررسی سختافزارهای خریداریشده از نظر وجود SDKهای مشکوک پیشنصبشده
در شرایطی که مرز میان زیرساختهای قانونی و فعالیتهای مخرب کمرنگ شده، هوشیاری کاربران، فروشندگان و سازمانها نسبت به رفتار غیرعادی دستگاهها بیش از پیش اهمیت پیدا کرده است.
منبع: The Hacker News
