Nach Angaben von Palo Alto Networks Unit 42 ist Kimwolf seit August 2025 dafür bekannt, Android-TV-Boxen anzugreifen. Die Linux-Variante AISURU konzentriert sich demnach vor allem auf Linux-IoT-Geräte. Aktiv ist das Botnetz laut den Forschern mindestens seit Mitte 2024.

Für die Verbreitung missbraucht Kimwolf typischerweise Residential-Proxy-Dienste, um Android-TVs in lokalen Netzwerken zu erreichen, bei denen Android Debug Bridge auf Port 5555 aktiviert ist. Dort wird Schadsoftware installiert, die DDoS-Angriffe ausführen und als Relais zum Weiterleiten bösartigen Datenverkehrs dienen kann.

Nach dem Start versucht sich die Malware als vermeintlich legitimer Android-Systemprozess zu tarnen, etwa unter dem Namen „netd_service“. Die wichtigste Neuerung von Kimwolf v7 ist jedoch die HTTP/2-basierte DDoS-Funktion. Wie die Unit-42-Forscher Asher Davila, Chris Navarrete und Doel Santos erklären, erzeugt sie vollständige Browser-Fingerabdrücke, wodurch sich der Angriffsdatenverkehr schwerer von legitimen Browserzugriffen unterscheiden lässt.

Auch die Command-and-Control-Infrastruktur wurde robuster gegen Abschaltungsversuche gestaltet. Kimwolf v7 verwendet dafür einen mehrstufigen Ansatz: Zunächst wird über den Ethereum Name Service die C2-Adresse ermittelt, zusätzlich ist ein Tor-.onion-Hidden-Service fest im Code hinterlegt, und ein lokaler Proxy vermittelt zwischen dem offenen Netz und Tor. Parallel dazu haben die Betreiber laut Unit 42 sämtliche Funktionen zum Scannen, Ausnutzen von Schwachstellen und Brute-Force-Angriffen entfernt.

Gerade dieser Wegfall ist für die Forscher ein Hinweis auf eine Umstellung des Betriebsmodells. Ihrer Einschätzung nach haben die Akteure hinter Kimwolf die Verbreitungspipeline vom Kern der Schadsoftware getrennt und die Aufgabe des Erstzugangs an einen externen Loader ausgelagert. Die Kimwolf-Binärdatei selbst bleibt damit auf DDoS-Angriffe und Proxy-Relay fokussiert.

Unit 42 beobachtete zudem Android-APK-Pakete, die sich als Systemdienst mit dem Namen SystemService ausgeben, Root-Zugriff prüfen und eine mitgelieferte ELF-Kernel-Nutzlast ausführen. Zwischen Oktober und Dezember 2025 wurden acht solcher APK-Artefakte identifiziert.

Das früheste abgelegte Sample zielte laut Unit 42 auf die x86-Architektur und nutzte einen Dirty-COW-Exploit. Das deute darauf hin, dass sich die Familie von klassischer Linux-Ausnutzung in Richtung des heutigen, ADB-basierten Android-Verbreitungsmodells entwickelt habe. Auch Dateinamenänderungen wertet das Team als Zeichen operativer Anpassungen: Auf „libn[redacted]kernel.so“ folgte im November 2025 der unauffälligere Name „libdevice.so“, bevor dieser im Dezember wieder zurückgenommen wurde.

Unit 42 bezeichnet Kimwolf v7 als gezielte Weiterentwicklung eines bereits groß angelegten Botnetzes. Die Veröffentlichung erfolgt laut dem Bericht vor dem Hintergrund, dass in den vergangenen Monaten mehrere neue Botnetz-Malware-Familien entdeckt wurden.