研究人员阻断 550 余个 Kimwolf 与 Aisuru 僵尸网络命令服务器流量
HackerNews 编译，转载请注明出处： Lumen Technologies的Black Lotus Labs团队表示，自2025年10月初以来，他们已阻断了流向与AISURU/Kimwolf僵尸网络相关的超过550个命令与控制节点的流量。 AISURU及其Android对应物Kimwolf已成为近期规模最大的僵尸网络之一，能够操控受控设备参与分布式拒绝服务攻击，并为住宅代理服务转发恶意流量。 关于Kimwolf的细节于上月浮出水面。该软件通过直接或通过设备预装的不可靠应用程序，向受感染的设备分发一个名为ByteConnect的软件开发工具包，从而将其转变为住宅代理。最终结果是，该僵尸网络通过住宅代理网络进行隧道传输，已感染超过200万台暴露了Android调试桥服务的Android设备，使威胁行为者能够入侵大量电视盒子。 Synthient随后的报告披露，Kimwolf的操作者试图出售代理带宽以换取预付现金。 Black Lotus Labs表示，基于对Aisuru后端C2服务器65.108.5[.]46的分析，他们于2025年9月识别出一组源自多个加拿大IP地址的住宅SSH连接，这些IP地址使用SSH访问194.46.59[.]169，即proxy-sdk.14emeliaterracewestroxburyma02132[.]su。 值得注意的是，该二级域名在2025年11月Cloudflare的顶级100域名榜单中曾超越Google，促使该网络基础设施公司将其从列表中移除。 随后，在2025年10月初，该网络安全公司表示，他们识别出另一个C2域名——greatfirewallisacensorshiptool.14emeliaterracewestroxburyma02132[.]su——其解析至104.171.170[.]21，这是一个属于犹他州托管服务提供商Resi Rack LLC的IP地址。该公司自称是”高级游戏服务器托管提供商”。 这一关联至关重要，因为独立安全记者Brian Krebs近期的报告揭示了基于此类僵尸网络的各类代理服务背后人员如何在一个名为resi[.]to的Discord服务器上推销其”warez”。这包括Resi Rack的联合创始人，据说他们近两年来一直积极通过Discord销售代理服务。 该服务器现已消失，其所有者名为”d”（推测是昵称”Dort”的缩写），而”Snow”被认为是僵尸网络的掌控者。 “在10月初，我们观察到在7天时间内，加入Kimwolf的新僵尸数量激增了300%，这是增长的开端，到月中时僵尸总数达到了80万，”Black Lotus Labs说，”这次激增中几乎所有的僵尸都被发现挂牌在单一的住宅代理服务上出售。” 随后发现，在2025年10月20日至11月6日期间，Kimwolf的C2架构会扫描PYPROXY等服务以寻找易受攻击的设备——这种行为是因为僵尸网络利用了众多代理服务中的一个安全漏洞，该漏洞使其能够与住宅代理端点内网的设备交互并植入恶意软件。 这进而将设备转变为住宅代理节点，导致其公网IP地址被列在住宅代理提供商网站上出租。威胁行为者随后租用对受感染节点的访问权限，并利用它扫描本地网络，寻找启用了ADB模式的设备以进一步传播。 “在2025年10月成功阻断一次路由后，我们观察到greatfirewallisacensorshiptool域名转移到了104.171.170[.]201，这是另一个Resi Rack LLC的IP地址，”Black Lotus Labs指出，”随着该服务器上线，我们观察到大量流量涌向176.65.149[.]19:25565，这是一个用于托管其恶意软件的服务器。该服务器所在的自治系统号当时正被Aisuru僵尸网络同时使用。” 此次披露的背景是，Chawkr的一份报告详细描述了一个包含832台受感染KeeneticOS路由器的复杂代理网络，这些路由器在Net By Net Holding LLC、VladLink和GorodSamara等俄罗斯ISP中运行。”所有832台设备上一致的SSH指纹和相同的配置指向了自动化的大规模利用，无论是利用窃取的凭证、嵌入式后门还是路由器固件中已知的安全漏洞，”报告称，”每台被入侵的路由器都同时保持HTTP和SSH访问权限。” 鉴于这些被入侵的SOHO路由器充当住宅代理节点，它们为威胁行为者提供了融入正常互联网流量以开展恶意活动的能力。这说明了对手如何越来越多地利用消费级设备作为多阶段攻击的渠道。 “与数据中心IP或已知托管提供商的地址不同，这些住宅代理端点在大多数安全厂商声誉列表和威胁情报源的雷达之下运行，”Chawkr指出，”其合法的住宅分类和清洁的IP声誉使得恶意流量能够伪装成普通的消费者活动，规避了那些会立即标记出来自可疑托管基础设施或已知代理服务请求的检测机制。” 消息来源：thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文