Kimwolf v7 rende più dura da spegnere la botnet Android TV
Kimwolf v7 non è solo un altro botnet per Android TV box: è stato progettato per restare credibile sul traffico e raggiungibile anche dopo un takedown. Il punto che cambia la lettura è doppio: il flood HTTP/2 assomiglia a un browser reale, e il canale di controllo può passare da ENS a Tor senza perdere continuità operativa.
Unit 42 descrive un payload che costruisce fingerprint completi da browser, così il traffico si mescola meglio al browsing normale e sfugge più facilmente ai filtri basati su pattern troppo evidenti. Sul lato C2, il malware usa endpoint pubblici Ethereum per risolvere domini ENS e porta con sé un backup .onion, con un proxy locale per spostarsi tra clearnet e Tor; è una risposta diretta ai takedown del 2025.
Per chi difende proxy, DNS e infrastrutture esposte a Tor, il segnale è che i playbook centrati su sinkhole e signature hanno meno presa quando il controllo può essere ricostruito su canali diversi. Il risultato è una botnet consumer più difficile da interrompere e più adatta a campagne DDoS persistenti.