Kimwolf v7 sposta la propagazione fuori dal botnet
Kimwolf v7 non è solo più difficile da bloccare: il pezzo visibile del botnet si è ristretto, e la fase di infezione è uscita dal binario principale. Così i segnali che i difensori cercavano per primi — scanning, exploit e brute-force — non stanno più nel core che genera il DDoS.
Unit 42 descrive un flood HTTP/2 che costruisce fingerprint completi di Chrome, con ordine degli header e comportamento da browser reale. Sul fronte comando e controllo, il binario usa ENS, ha un backup Tor hard-coded e instrada il traffico tramite un proxy locale; i ricercatori dicono anche che la propagazione è stata spostata su un loader esterno, lasciando a Kimwolf soprattutto DDoS e relay.
Per chi difende siti e API esposti a HTTP/2, il punto è che il traffico può assomigliare a una sessione legittima e passare oltre filtri troppo semplici. La combinazione di flood mimetizzato e fallback ENS+Tor rende meno efficaci sia il blocco del traffico sia il takedown del canale di comando.