Kimwolf v7 บ็อตเน็ต Android ยิง DDoS ผ่าน HTTP/2 พร้อมลายนิ้วมือเบราว์เซอร์ครบชุด — ซ่อนที่อยู่ C2 ไว้ในชื่อโดเมน ENS บนบล็อกเชน

สรุปสั้น

นักวิจัยของ Unit 42 บริษัท Palo Alto Networks พบบ็อตเน็ต Kimwolf ซึ่งเป็นฝั่ง Android ของตระกูลเดียวกับ AISURU บนลินุกซ์ ออกเวอร์ชันใหม่ที่ชื่อ Kimwolf v7 โดยมีการปรับปรุงสำคัญสองด้าน ด้านแรกคือความสามารถในการยิง DDoS ที่เพิ่มการโจมตีแบบ HTTP/2 ซึ่งสร้างลายนิ้วมือเบราว์เซอร์ขึ้นมาครบชุด ทั้งในระดับโปรโตคอลและระดับส่วนหัวของคำขอ ทำให้ทราฟฟิกโจมตีแยกออกจากการท่องเว็บของผู้ใช้จริงได้ยากขึ้นมาก ด้านที่สองคือความทนทานของโครงสร้างสั่งการที่ออกแบบมาให้ปิดยาก โดยใช้กลไกหลายชั้น เริ่มจากการสอบถามที่อยู่เซิร์ฟเวอร์สั่งการผ่านระบบชื่อโดเมนบนอีเทอเรียมหรือ Ethereum Name Service สำรองด้วยบริการซ่อนตัวบน Tor ที่ฝังไว้ในไบนารี และมีพร็อกซีบนเครื่องคอยกำหนดเส้นทางระหว่างเครือข่ายเปิดกับ Tor

อีกความเปลี่ยนแปลงที่บอกอะไรได้มากคือการถอดโมดูลสแกน โมดูลเจาะช่องโหว่ และการเดารหัสผ่านออกจากตัวมัลแวร์ทั้งหมด Unit 42 มองว่านี่คือสัญญาณว่าผู้อยู่เบื้องหลังแยกสายการแพร่กระจายออกจากเพย์โหลดหลัก แล้วโยนงานหาทางเข้าไปให้โหลดเดอร์ภายนอกจัดการแทน ส่วนตัว Kimwolf เหลือหน้าที่สองอย่างคือยิง DDoS และทำตัวเป็นตัวส่งต่อทราฟฟิก

บ็อตเน็ตตระกูลนี้เคลื่อนไหวมาตั้งแต่กลางปี 2567 เป็นอย่างน้อย โดยฝั่ง Kimwolf เล็งกล่องแอนดรอยด์ทีวีมาตั้งแต่เดือนสิงหาคม 2568 ขณะที่ AISURU เน้นอุปกรณ์ IoT ที่ใช้ลินุกซ์ เว็บไซต์ Cloud Thunder เคยรายงานการจับกุมผู้ดูแลบริการ DDoS-for-Hire ที่ใช้บ็อตเน็ต KimWolf ไว้ในโพสต์ 2026/05/055 ซึ่งการโผล่ของเวอร์ชัน 7 ยืนยันว่าปฏิบัติการยังเดินต่อหลังการจับกุมครั้งนั้น

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 12 สิงหาคม 2569 ว่า นักวิจัยด้านความปลอดภัยไซเบอร์ค้นพบบ็อตเน็ต Kimwolf/AISURU สำหรับ Android และอุปกรณ์ IoT เวอร์ชันใหม่ ที่มาพร้อมการปรับปรุงสำคัญเพื่อเพิ่มความทนทานในการปฏิบัติการและการโจมตีแบบ DDoS

เวอร์ชันใหม่นี้ถูกติดตามในชื่อ Kimwolf v7 และถูกค้นพบโดยทีม Unit 42 ของบริษัท Palo Alto Networks ตั้งแต่เดือนกุมภาพันธ์ 2569 โดยนักวิจัยนาย Asher Davila, นาย Chris Navarrete และนาย Doel Santos ระบุว่า Kimwolf v7 เพิ่มการยิงข้อมูลถล่มแบบ DDoS ที่ทำงานบน HTTP/2 พร้อมสร้างลายนิ้วมือเบราว์เซอร์ที่สมบูรณ์ ซึ่งทำให้ทราฟฟิกโจมตีแยกออกจากการท่องเว็บตามปกติได้ยาก

รูปแบบการแพร่กระจายที่บ็อตเน็ตนี้ใช้เป็นหลักคือการอาศัยบริการพร็อกซีที่วิ่งผ่านเครือข่ายบ้านของผู้ใช้จริง เพื่อเข้าถึงกล่องแอนดรอยด์ทีวีที่มาจากโรงงานพร้อมเปิด Android Debug Bridge หรือ ADB ทิ้งไว้บนพอร์ต 5555 ในเครือข่ายภายใน จากนั้นจึงติดตั้งมัลแวร์ที่ทำได้ทั้งการยิง DDoS และการทำตัวเป็นตัวส่งต่อทราฟฟิกของผู้โจมตี เมื่อทำงานแล้วมัลแวร์จะพยายามพรางตัวเป็นโพรเซสของระบบ Android ที่ดูเหมือนของจริง เช่นใช้ชื่อว่า netd_service เพื่อไม่ให้สะดุดตา

นอกจากตัวไบนารีหลัก ผู้ปฏิบัติการ Kimwolf ยังกระจายไฟล์ APK ของ Android ที่ปลอมตัวเป็นบริการระบบชื่อ SystemService ซึ่งจะตรวจหาสิทธิ์รูทและรันเพย์โหลด ELF ที่บรรจุมาด้วยภายในเครื่อง โดย Unit 42 ระบุว่าพบไฟล์ APK ลักษณะนี้ 8 ตัวอย่างในช่วงเดือนตุลาคมถึงธันวาคม 2568

ตัวอย่างแรกสุดที่ถูกปล่อยออกมาเล็งสถาปัตยกรรม x86 และใช้ช่องโหว่ Dirty COW ซึ่ง Unit 42 มองว่าบ่งชี้ว่าตระกูลมัลแวร์นี้พัฒนามาจากการเจาะระบบลินุกซ์แบบดั้งเดิม ก่อนจะย้ายมาสู่รูปแบบการแพร่กระจายบน Android ผ่าน ADB อย่างในปัจจุบัน นักวิจัยยังตั้งข้อสังเกตว่าการเปลี่ยนชื่อไฟล์จาก libn[redacted]kernel.so มาเป็น libdevice.so ที่ดูไม่สะดุดตาในเดือนพฤศจิกายน 2568 แล้วเปลี่ยนกลับในเดือนธันวาคม เป็นสัญญาณว่าผู้อยู่เบื้องหลังคอยปรับแต่งความปลอดภัยเชิงปฏิบัติการของตัวเองอยู่ตลอด

การเปิดเผยครั้งนี้เกิดขึ้นในช่วงที่มีมัลแวร์บ็อตเน็ตตระกูลใหม่ถูกตรวจพบหลายรายในไม่กี่เดือนที่ผ่านมา ได้แก่ AryStinger ที่กวาดเราเตอร์บ้านรุ่นเก่าที่มีช่องโหว่มาทำงานสอดแนมแบบกระจายและทำพร็อกซี, RustDuck ที่ยึดเราเตอร์บ้าน กล้อง IP กล่องแอนดรอยด์ และเซิร์ฟเวอร์ที่ตั้งค่าไม่รัดกุมมายิง DDoS, NadMesh ที่รวมการสแกน การเจาะช่องโหว่ และการเก็บเกี่ยวข้อมูลยืนยันตัวตนกับข้อมูลบริการ AI ไว้ในแพลตฟอร์มอัตโนมัติเดียว โดยไล่สแกนหา Redis, Docker, MCP, Kubernetes, ComfyUI, Ollama, n8n, Open WebUI, Langflow และ Gradio แล้ววางแบ็กดอร์ SSH พร้อมดูดข้อมูลยืนยันตัวตน ตัวแปรสภาพแวดล้อม โทเคนบัญชี และคอนฟิกของ AWS กับ Docker และ Tengu ซึ่งเป็นมัลแวร์ IoT ที่พัฒนาต่อจาก Mirai ใช้การเดารหัสผ่าน Telnet เพื่อยึดอุปกรณ์

วิธีการโจมตี

หัวใจของเวอร์ชัน 7 อยู่ที่การทำให้ทราฟฟิกโจมตีดูเหมือนคนจริงกำลังเปิดเว็บ ฟังก์ชันยิงข้อมูลถล่มแบบ HTTP/2 ใช้ไลบรารี nghttp2 และประกอบลายนิ้วมือเบราว์เซอร์ให้ครบทั้งพฤติกรรมระดับโปรโตคอลและลำดับส่วนหัวของคำขอ ซึ่งเป็นสองสิ่งที่ระบบป้องกัน DDoS สมัยใหม่ใช้แยกบ็อตออกจากผู้ใช้จริง เมื่อทั้งสองอย่างถูกเลียนแบบพร้อมกัน การกรองด้วยลายเซ็นของไคลเอนต์จึงมีประสิทธิภาพลดลง

ด้านการติดต่อเซิร์ฟเวอร์สั่งการ Kimwolf v7 ใช้บริการ Ethereum RPC สาธารณะที่ถูกกฎหมายในการสอบถามระเบียนโดเมน ENS เพื่อแปลงเป็นที่อยู่ของ C2 วิธีนี้ทำให้การปิดกั้นทำได้ยาก เพราะทราฟฟิกที่มัลแวร์สร้างในขั้นแรกคือการคุยกับบริการบล็อกเชนทั่วไป ไม่ใช่การติดต่อโดเมนที่ถูกขึ้นบัญชีดำ และผู้ปฏิบัติการเปลี่ยนค่าปลายทางได้โดยไม่ต้องแก้ไบนารี หากช่องทางนี้ล่ม ยังมีบริการซ่อนตัวบน Tor ที่ฝังไว้ในไบนารีเป็นทางสำรอง โดยทราฟฟิก C2 ทั้งหมดจะถูกส่งผ่านพร็อกซีบนเครื่องที่ 127.0.0[.]1:23075 ไม่ว่าปลายทางจะเป็นเครือข่ายเปิดหรือ Tor ก็ตาม

ในแง่ขีดความสามารถ เวอร์ชันนี้เพิ่มฟังก์ชันยิง UDP ประสิทธิภาพสูงที่ออกแบบมาสำหรับหน่วยประมวลผลตระกูล ARM ซึ่งเป็นชิปที่ใช้ในกล่องแอนดรอยด์ทีวีโดยเฉพาะ พร้อมกับยุบคำสั่งโจมตีทั้งหมดให้เหลือ 15 วิธีที่อ้างอิงด้วยตัวเลข ลดลงจากเดิมที่มี 43 วิธีเรียกด้วยชื่อเป็นข้อความ การเปลี่ยนแปลงนี้ทำให้ทราฟฟิกสั่งการกระชับขึ้นและลดร่องรอยที่เป็นข้อความให้เครื่องมือตรวจจับจับได้

สิ่งที่หายไปสำคัญไม่แพ้สิ่งที่เพิ่มเข้ามา การถอดโมดูลสแกน เจาะช่องโหว่ และเดารหัสผ่านออกทั้งหมด หมายความว่าตัวอย่างมัลแวร์ที่เก็บได้จากเครื่องติดเชื้อจะไม่บอกอะไรเลยเกี่ยวกับวิธีที่มันเข้ามา เพราะงานส่วนนั้นถูกโยนให้โหลดเดอร์ภายนอกที่แยกกันคนละชิ้น ฝ่ายตั้งรับที่วิเคราะห์เฉพาะเพย์โหลดจึงเห็นภาพไม่ครบ

ผลกระทบ

ผู้ที่รับผลโดยตรงแบ่งเป็นสองกลุ่มที่ต่างกันมาก กลุ่มแรกคือเจ้าของกล่องแอนดรอยด์ทีวีที่กลายเป็นเครื่องมือของผู้อื่นโดยไม่รู้ตัว อุปกรณ์ประเภทนี้แทบไม่มีใครติดตั้งซอฟต์แวร์ป้องกัน ไม่มีการอัปเดตเฟิร์มแวร์ และหลายรุ่นมาจากโรงงานพร้อมเปิด ADB ทิ้งไว้อยู่แล้ว เมื่อถูกยึด เครื่องจะทั้งยิงทราฟฟิกโจมตีและทำตัวเป็นทางผ่านให้ทราฟฟิกไม่พึงประสงค์ของผู้อื่น ซึ่งหมายความว่าไอพีของบ้านหรือสำนักงานนั้นอาจกลายเป็นต้นทางของการโจมตีในสายตาปลายทาง

กลุ่มที่สองคือองค์กรที่เป็นเป้าของการยิง DDoS การเพิ่มการโจมตีแบบ HTTP/2 ที่มีลายนิ้วมือเบราว์เซอร์ครบชุดทำให้แนวทางป้องกันที่พึ่งการแยกแยะลายเซ็นของไคลเอนต์ทำงานได้ยากลง และผลักภาระไปที่การวิเคราะห์พฤติกรรมระดับเซสชันและการจำกัดอัตราคำขอที่ละเอียดขึ้น ซึ่งต้นทุนสูงกว่าและมีโอกาสกระทบผู้ใช้จริงมากกว่า

ในระดับโครงสร้าง การผูกที่อยู่ C2 ไว้กับ ENS บนบล็อกเชนคือทิศทางที่ควรจับตา เพราะทำให้การปิดปฏิบัติการด้วยการถอดโดเมนหรือยึดเซิร์ฟเวอร์ได้ผลน้อยลง ผู้ปฏิบัติการเพียงแก้ระเบียนบนบล็อกเชนก็ย้ายฐานได้ ขณะที่การขวางไม่ให้อุปกรณ์คุยกับบริการ Ethereum RPC สาธารณะก็ไม่ใช่เรื่องที่องค์กรทั่วไปจะทำได้โดยไม่กระทบการใช้งานอื่น

คำแนะนำ

• ปฏิบัติต่อกล่องแอนดรอยด์ทีวีเสมือนอุปกรณ์ที่ไว้ใจไม่ได้ และแยกวงเครือข่ายออกจากเครือข่ายองค์กรตามคำแนะนำของ Unit 42
• ปิด ADB บนอุปกรณ์แอนดรอยด์ทั้งหมด หรือจำกัดให้ใช้ผ่านสาย USB เท่านั้น ซึ่งเป็นการตัดช่องทางแพร่กระจายหลักของบ็อตเน็ตนี้โดยตรง
• สแกนหาอุปกรณ์ที่เปิดพอร์ต TCP/5555 ในเครือข่ายภายใน และปิดกั้นการเข้าถึงพอร์ตนี้จากภายนอกอย่างเด็ดขาด
• เฝ้าระวังทราฟฟิกขาออกที่วิ่งไปยังบริการ Ethereum RPC สาธารณะและ Tor จากอุปกรณ์ประเภทที่ไม่ควรมีพฤติกรรมดังกล่าว เช่น กล่องทีวี กล้อง และอุปกรณ์ IoT
• สำหรับผู้ให้บริการเว็บ ให้ทบทวนกลไกป้องกัน DDoS ที่พึ่งการแยกแยะลายนิ้วมือของไคลเอนต์เป็นหลัก และเพิ่มการวิเคราะห์เชิงพฤติกรรมระดับเซสชันควบคู่ไปด้วย
• ตรวจหาโพรเซสชื่อ netd_service ที่ไม่ตรงกับของระบบจริง และแอปพลิเคชันชื่อ SystemService ที่ไม่ได้มากับเฟิร์มแวร์ บนอุปกรณ์แอนดรอยด์ที่สงสัย

Indicators of Compromise (IoCs)

รายการด้านล่างมาจากรายงานของ Unit 42 ตามที่ปรากฏในบทความต้นทาง โดยที่อยู่ถูก defang ไว้แล้ว ก่อนนำไปใช้ต้องแปลงกลับเอง

แหล่งอ้างอิง

• Kimwolf v7 Android Botnet Makes HTTP/2 DDoS Traffic Look Like Legitimate Browsing — The Hacker News
• Kimwolf v7 Botnet Malware — Palo Alto Networks Unit 42