Kimwolf Botnet

사이버 보안 전문가들이 180만 대 이상의 기기를 감염시킨 대규모 분산 서비스 거부(DDoS) 공격 봇넷인 '킴울프(Kimwolf)'를 발견했습니다. 감염된 기기에는 안드로이드 기반 TV, 셋톱박스, 태블릿 등이 포함됩니다. 초기 조사 결과, 이 봇넷이 악명 높은 AISURU 봇넷과 연관이 있을 가능성이 제기되고 있습니다. 이번 발견은 사물인터넷(IoT) 기기를 겨냥한 악성코드가 점점 더 정교해지고 있음을 보여주며, 연결된 기기 보호에 대한 경각심의 중요성을 강조합니다.

킴울프의 해부학

Kimwolf는 네이티브 개발 키트(NDK)를 사용하여 구축되었으며 기존의 DDoS 공격을 뛰어넘는 다양한 기능을 결합합니다. 주요 기능은 다음과 같습니다.

• 프록시 포워딩
• 역방향 셸 액세스
• 파일 관리 기능

봇넷의 악성 소프트웨어는 장치당 하나의 프로세스를 실행하고, 내장된 명령 및 제어(C2) 도메인을 복호화하고, DNS-over-TLS를 사용하여 C2 IP를 확인하고, 운영자로부터 수신한 명령을 실행하도록 설계되었습니다.

기록적인 규모와 활동

킴울프는 2025년 11월 19일부터 22일까지 단 3일 만에 17억 건의 DDoS 공격 명령을 내린 것으로 알려졌습니다. 킴울프의 C2 도메인 중 하나인 14emeliaterracewestroxburyma02132[.]su는 한때 클라우드플레어의 상위 100개 도메인에 진입하여 구글을 일시적으로 앞지르기도 했습니다.

주요 감염 대상에는 다음과 같은 가정용 TV 셋톱박스가 포함됩니다.

• TV BOX, SuperBOX, HiDPTAndroid
• P200, X96Q, 엑스박스, 스마트TV, MX10

지리적으로 감염은 브라질, 인도, 미국, 아르헨티나, 남아프리카공화국, 필리핀에 집중되어 있지만 정확한 전파 경로는 아직 불분명합니다.

진화와 회복력

Kimwolf는 뛰어난 적응력을 보여줍니다. 2025년 12월에만 최소 세 차례 C2 도메인이 차단되자 운영진은 인프라 강화를 위해 이더리움 네임 서비스(ENS) 도메인을 도입했습니다. 최근 버전의 멀웨어에는 스마트 계약을 통해 실제 C2 IP 주소를 가져와 XOR 연산을 통해 변환하는 EtherHiding 기법이 포함되어 있어 차단이 훨씬 어려워졌습니다.

AISURU 및 공유 인프라 연결

증거에 따르면 킴울프는 기록적인 DDoS 공격으로 악명 높은 AISURU 봇넷과 연관되어 있습니다.

• 두 봇넷은 2025년 9월부터 11월까지 동일한 감염된 기기에서 공존했습니다.
• APK 패키지와 코드 서명 인증서('John Dinglebert Dinglenut VIII VanSack Smith')의 유사성은 공통된 개발 출처를 시사합니다.
• 다운로더 서버(93.95.112[.]59)는 Kimwolf 및 AISURU APK를 모두 참조하는 스크립트가 존재함을 확인했습니다.

이러한 관계는 단일 해커 그룹이 도달 범위를 극대화하고 탐지를 피하기 위해 두 개의 봇넷을 모두 운영하고 있을 가능성을 시사합니다.

공격 능력 및 수익 창출

Kimwolf는 UDP, TCP 및 ICMP를 통해 13가지의 서로 다른 DDoS 공격 방식을 지원하며, 미국, 중국, 프랑스, 독일, 캐나다 등을 대상으로 공격합니다. 흥미로운 점은 실행된 명령의 96% 이상이 감염된 노드를 프록시 서비스로 활용하도록 지시되어 있다는 사실로, 강력한 수익 창출 동기를 시사합니다.

해킹된 기기에 추가로 배포되는 구성 요소는 다음과 같습니다.

• Rust 기반 명령 클라이언트 - 프록시 네트워크 구축
• ByteConnect SDK – 개발자와 기기 소유자를 위해 IoT 트래픽을 수익화합니다.
• TLS 암호화는 모든 통신을 보호하며, C2 서버 및 DNS 확인자에 대한 민감한 데이터 또한 암호화되어 운영상의 은밀성을 높입니다.

거대 봇넷의 더 넓은 맥락

2016년 Mirai가 등장한 이후 거대 IoT 봇넷은 크게 진화했습니다. 초기 버전은 주로 광대역 라우터와 카메라를 표적으로 삼았지만, Badbox, Bigpanzi, Vo1d, Kimwolf와 같은 최신 봇넷은 스마트 TV와 TV 박스를 점점 더 집중 공격하고 있으며, 이는 공격자들이 고대역폭 소비자 기기에 관심을 돌리고 있음을 반영합니다.