根據 Palo Alto Networks Unit 42 的研究報告，安全研究人員發現了 Android 與 IoT 設備殭屍網路 Kimwolf（其 Linux 版本稱為 AISURU）的最新演進版本 v7。該殭屍網路自 2024 年中以來便相當活躍，而 v7 版本在 2026 年 2 月被發現後，展現出更強的生存能力以及更具欺騙性的攻擊手段。Kimwolf 主要針對 Android TV 盒以及 Linux 設備，將其轉化為受控節點，用以發動大規模的分散式阻斷服務攻擊（DDoS）。
背景與傳播路徑
Kimwolf 的傳播模式高度依賴於設備的配置漏洞。該惡意軟體通常利用住宅代理服務（Residential Proxy），在本地網路中尋找開啟了 Android Debug Bridge（ADB，Android 偵錯橋，一種允許開發者透過網路或 USB 與設備通訊的工具）且連接埠 5555 開放的 Android TV 盒。一旦找到目標，攻擊者便能直接安裝惡意程式。
在感染後，Kimwolf 會嘗試將自己偽裝成合法的系統程序，例如命名為 netd_service，以規避系統管理者的察覺。研究發現，該家族的演進路徑相當明確：早期樣本曾利用 Dirty COW（Linux 核心權限提升漏洞）針對 x86 架構進行攻擊，但隨後逐漸轉向目前的 ADB 傳播模型，顯示其攻擊目標已精準地從通用 Linux 設備移至 Android 設備。
核心技術演進：隱蔽的 DDoS 攻擊
Kimwolf v7 最顯著的技術提升在於其發動 DDoS 攻擊的方式。它引入了基於 HTTP/2 協定的洪水攻擊（Flood Attack），並整合了 nghttp2 函式庫。HTTP/2 是目前主流的網路傳輸協定，相比舊版，它支持多路複用與標頭壓縮，能提高傳輸效率。
更關鍵的是，Kimwolf v7 能夠構造完整的瀏覽器指紋（Browser Fingerprints）。瀏覽器指紋是指設備在請求網頁時所攜帶的特定標頭、協定特徵與行為模式。透過模仿真實瀏覽器的行為，Kimwolf 產生的攻擊流量在協定層級與標頭層級上與正常使用者的瀏覽行為幾乎一致。這使得網路防禦設備（如 WAF 或入侵偵測系統）難以將其區分為惡意流量，從而大幅提高了 DDoS 攻擊的成功率與隱蔽性。
此外，針對 Android TV 盒常用的 ARM 處理器，v7 版本還優化了高效率的 UDP 洪水攻擊功能，並將複雜的攻擊指令從舊版的 43 種文字指令簡化為 15 種編號指令，提升了指令執行效率。
韌性機制與 C2 架構
為了防止指令控制伺服器（C2，Command and Control）被安全廠商快速封鎖或撤除，Kimwolf v7 採用了一套多層次的韌性機制。它不再依賴單一的固定 IP，而是透過以下三層結構獲取指令：
首先，它利用公共的 Ethereum RPC 服務（以太坊遠端程序呼叫）來查詢 ENS（Ethereum Name Service，以太坊名稱服務）。ENS 類似於區塊鏈上的 DNS，能將易讀的域名解析為地址。攻擊者透過修改 ENS 紀錄，可以隨時變更 C2 的實際位置。
其次，程式碼中硬編碼了一個 Tor .onion 隱藏服務地址作為備援 C2。Tor 網路透過多層加密與中繼，使伺服器的真實地理位置與 IP 無法被追蹤。
最後，它在本地建立了一個代理架構（Local Proxy），將所有 C2 流量統一路由至本地連接埠 127.0.0.1:23075。無論流量最終是前往公開網路（Clearnet）還是 Tor 隱藏服務，都經過此代理轉發，增加了分析人員追蹤流量去向的難度。
分工明確的攻擊管線
值得注意的是，Kimwolf v7 移除了先前版本中負責掃描、漏洞利用與暴力破解的功能模組。這並不代表其攻擊能力下降，而是反映了攻擊者採取了分工明確的管線設計。
目前的運作模式是將傳播過程（Propagation）與核心載荷（Payload）分離。由外部的載入程式（Loader）負責尋找漏洞並獲取初始進入權限，而 Kimwolf 二進位檔則專注於執行 DDoS 攻擊與代理轉發。這種模組化設計讓惡意軟體的主體更輕量且更難被特徵碼偵測，同時讓攻擊者能靈活更換傳播手段而不影響已建立的殭屍網路。
實務影響與防禦限制
Kimwolf v7 的出現顯示了 IoT 設備在企業或家庭網路中常被忽視的風險。Android TV 盒雖然功能方便，但若出廠設定或使用者開啟了不必要的 ADB 偵錯功能，將成為駭客進入內網的絕佳跳板。
由於 v7 版本的流量偽裝能力極強，傳統基於特徵碼或簡單流量分析的防禦手段已不足夠。組織應將 Android TV 盒視為不可信設備，將其與核心企業網路進行物理或邏輯上的隔離（Network Segmentation）。最有效的防禦手段是關閉 ADB 功能，或將其限制為僅限 USB 連接，從根本上切斷該殭屍網路的主要傳播路徑。
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。