Kimwolf: בוטנט הדביק מעל 2 מיליון מכשירי אנדרואיד, ובעיקר קופסאות טלוויזיה זולות
לפי Synthient ו-Brian Krebs, בוטנט Kimwolf הדביק מעל 2 מיליון מכשירי אנדרואיד דרך רשתות פרוקסי ביתיות. ממצאי 2 בינואר 2026 מצביעים על קופסאות טלוויזיה זולות, וחלקן נמכרו נגועות.
TL;DR בקצרה
- Synthient פרסמה ב-2 בינואר 2026 דוח על Kimwolf: מעל 2 מיליון מכשירי אנדרואיד נגועים, בעיקר קופסאות טלוויזיה, וכ-12 מיליון כתובות IP ייחודיות בשבוע.
- ההדבקה עוברת דרך רשתות פרוקסי ביתיות אל שירות ADB פתוח בפורט 5555. לפי Synthient, 67% ממכשירי האנדרואיד במאגר של IPIDEA לא דרשו הזדהות.
- מכשירים רבים נמכרו עם רכיב פרוקסי מותקן. Synthient ממליצה לבדוק את כתובת ה-IP ב-synthient.com/check ולהשמיד קופסה נגועה.
- IPIDEA תיקנה ב-28 בדצמבר 2025, ו-Krebs מוסיף עצות: רשת אורחים, הפרדת מכשירי בידור ומותגים מוכרים.
לפי Synthient, בוטנט Kimwolf הדביק מעל 2 מיליון מכשירי אנדרואיד, ובעיקר קופסאות טלוויזיה זולות. Synthient פרסמה את הדוח המלא ב-2 בינואר 2026, ובאותו יום פירט Brian Krebs את הממצאים. הבוטנט מפעיל מכשירים ביתיים לתקיפות DDoS, להונאות פרסום ולגרידת אתרים.
הנקודה המטרידה היא דרך ההדבקה. Kimwolf לא מחכה שתתקינו משהו. הוא נכנס דרך רשתות פרוקסי ביתיות, ומנצל מכשירים שבעליהם לא ידעו שהם פתוחים.
Synthient: כך Kimwolf נכנס דרך רשתות פרוקסי ביתיות
רשת פרוקסי ביתית משכירה את החיבור של מכשירים בבתים. אפליקציה שמותקנת במכשיר, ולעתים כבר מגיעה איתו, מעבירה דרכו תנועה של לקוחות. לפי Synthient, Kimwolf ניצל את זה ושלח בקשות דרך הרשת אל כתובות בתוך הרשת הביתית של המכשיר.
שירותי הפרוקסי חסמו גישה לטווחי כתובות פנימיים. לפי Krebs, התוקפים עקפו את החסימה והפנו רשומות DNS לכתובות פנימיות כמו 192.168.0.1 או 0.0.0.0. כך הבקשה הגיעה למכשיר עצמו.
המכשירים עצמם היו פתוחים. לפי Krebs, בקופסאות טלוויזיה רבות פועל ADB, כלי ניפוי שגיאות של אנדרואיד, כברירת מחדל בפורט 5555 וללא הזדהות. מי שמגיע אליו יכול להריץ על המכשיר פקודות.
ב-12 בנובמבר 2025 זיהתה Synthient ברשת הפיתיון שלה עלייה בניסיונות כאלה מרשת הפרוקסי של IPIDEA. ב-1 בדצמבר היא תפסה את המטען הראשון, וב-17 בדצמבר שלחה 11 הודעות לספקי פרוקסי. לפי Synthient, IPIDEA סגרה את הפרצה ב-28 בדצמבר. היא חסמה גישה למכשירים ברשת המקומית ולפורטים רגישים.
מי נדבק: קופסאות טלוויזיה זולות, לעתים כבר מהיצרן
לפי Synthient, 67% ממכשירי האנדרואיד במאגר של IPIDEA לא דרשו הזדהות כלל. יש כ-6 מיליון כתובות פגיעות. מכשירים רבים הגיעו לקונים כשהם כבר נגועים ברכיבי פרוקסי. חוקרי Synthient קנו כמה מהם ואימתו זאת.
Krebs מציין שכשני שלישים מההדבקות הן בקופסאות טלוויזיה לא רשמיות, שאין בהן אבטחה. חנויות כמו Amazon, Best Buy, Newegg ו-Walmart מוכרות אותן ב-40 עד 400 דולר. לפעמים השיווק מציג אותן כגישה חינמית לתוכן בתשלום. חלקן נושאות את התווית Made in China. Overseas use only.
ההדבקות מרוכזות בווייטנאם, בברזיל, בהודו ובסעודיה, לפי Synthient. אבל Krebs מצא את הקופסאות גם בחנויות אמריקאיות גדולות, ולכן הבעיה אינה מקומית.
מה Kimwolf עושה, ולמה זה חשוב גם לרשת שלכם
Synthient מתארת שלוש דרכי הכנסה. הראשונה היא התקנת אפליקציות על המכשירים הנגועים. השנייה היא מכירת רוחב פס של פרוקסי, והשלישית היא שירותי DDoS. היא מציינת ש-Cloudflare דיווחה על שיא של 29.7 Tbps בהתקפות. את רוחב הפס מכרו ב-0.20 סנט לגיגה, או ב-1,400 דולר בחודש לתעבורה בלי הגבלה.
המכשיר הנגוע יושב ברשת שלכם. לפי Krebs, תוקפים יכולים להגיע דרכו למכשירים אחרים באותה רשת. גם כתובת ה-IP שלכם עלולה לשמש להונאות. Synthient מוסיפה פרט. אחרי שהותקן SDK בשם Byteconnect, החוקרים ראו התקפות credential stuffing על שרתי IMAP ואתרים פופולריים. זה ניסיון להיכנס עם סיסמאות שנגנבו.
מה Synthient ממליצה לעשות
Synthient מפעילה בדיקה באתר synthient.com/check, שמראה אם כתובת ה-IP הציבורית שלכם הופיעה בין מערכות נגועות. אם הבדיקה מסמנת אתכם, היא ממליצה לפרק את הקופסה ולהשמיד אותה. לארגונים היא ממליצה להרחיק קופסאות טלוויזיה מהרשת ולנעול ADB. עוד היא ממליצה לוודא שאין SDK של פרוקסי שפועל בלי ידיעה.
מה זה אומר עבורכם
- בדקו את הכתובת: היכנסו ל-synthient.com/check וראו אם ה-IP שלכם סומן.
- זהו מכשירים חשודים: קופסת טלוויזיה זולה ולא רשמית, או מסגרת תמונות דיגיטלית לא מוכרת. נתקו אותה מהרשת, במיוחד אם היא מבטיחה ערוצים בחינם.
- הפרידו רשתות: תנו למבקרים רשת אורחים. העבירו מכשירי בידור לרשת VLAN משלהם, הרחק מהמחשבים והאחסון, כמו ש-Krebs ממליץ.
- קנו מותג מוכר: אל תקנו מכשירים שמבטיחים ערוצים בתשלום בחינם או במחיר נמוך מאוד.
- בארגון: נעלו את ADB, בדקו תעבורה חשודה וחסמו את שרתי השליטה שברשימת האינדיקטורים של Synthient.
מה קרה מאז
ב-29 בינואר 2026 פרסמה Google שיבוש של IPIDEA. לפי הערכתה, היא צמצמה מיליוני מכשירים ממאגר הפרוקסי. היא הוסיפה ש-Play Protect מזהיר ומסיר אפליקציות עם SDK של IPIDEA.
ב-19 במרץ 2026 הודיע משרד המשפטים האמריקאי על פירוק התשתית של ארבע רשתות בוטנט, ובהן Kimwolf. הפעולה נעשתה יחד עם קנדה וגרמניה. לפי Krebs, הגילוי של Synthient ב-2 בינואר האט במעט את ההתפשטות, אבל בוטנטים אחרים העתיקו את השיטה.
מקורות והרחבה
- A Broken System Fueling BotnetsSynthient
- The Kimwolf Botnet is Stalking Your Local NetworkKrebs on Security
- Kimwolf Android Botnet Grows Through Residential Proxy NetworksSecurityWeek
- Disrupting the largest residential proxy networkGoogle Threat Intelligence Group
- Feds Disrupt IoT Botnets Behind Huge DDoS AttacksKrebs on Security
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
