Kimwolf Botneti: 2 Milyon Cihazı Ələ Keçirən və Yaşayış Proksi Şəbəkələrini İstismar Edən Küresel Kiber Təhdid

Təhlükəsizlik mütəxəssisləri bütün dünyada 2 milyondan çox cihazı sakitcə yoluxduraraq onları sahiblərinin xəbəri olmadan qeyri-qanuni proksi serverlər kimi fəaliyyət göstərməyə məcbur edən Kimwolf adlı təhlükəli zərərli proqram təminatının (ZPT) sürətlə böyüməsini aşkar edib. Bu botnet, qlobal miqyasda onlayn fırıldaqçılıq, güclü kiberhücumlar təşkil etmək və milyonlarla istifadəçidən məlumat oğurlamaq üçün istifadə olunur.

2025-ci ilin sonlarında kəşf edilən Kimwolf, populyar proksi şəbəkələrinin öz sistemlərini necə qoruduğundakı boşluqlardan istifadə edən mürəkkəb bir hücum metodu nümayiş etdirir. Əsas hədəf bazarda satılan ucuz Android TV qutuları və rəqəmsal foto çərçivələridir ki, onların bir çoxu fabrikdən təhlükəli təhlükəsizlik parametrləri aktiv şəkildə gəlir.

Rochester Texnologiya İnstitutunun tələbəsi və Synthient-in təsisçisi olan kiber təhlükəsizlik tədqiqatçısı Benjamin Brundage, 2025-ci ilin oktyabrında Kimwolf-u araşdırmağa başladı. Onun araşdırmaları botnetin dünyanın ən böyük yaşayış proksi xidmətlərinin zəiflikləri vasitəsilə yayıldığını üzə çıxardı. Brundage-in tapıntılarına əsasən, hücumçular DNS parametrlərini dəyişdirərək təhlükəsizlik qaydalarını asanlıqla aşaraq, yoluxmuş proksi cihazları vasitəsilə şəxsi ev şəbəkələrinə daxil ola bilirlər.

Texniki Detallar

Kimwolf hücumunun müvəffəqiyyəti iki əsas təhlükəsizlik boşluğunun birləşməsindən irəli gəlir. Birincisi, bir çox qeyri-rəsmi TV qutusu zavoddan əvvəlcədən yüklənmiş zərərli proqramla gəlir. İkincisi, bu cihazlarda güclü bir funksiya olan Android Debug Bridge (ADB) adətən aktiv vəziyyətdə qalır. ADB, eyni şəbəkədə olan hər kəsə sadə bir əmrlə cihaz üzərində tam nəzarəti ələ keçirməyə imkan verir.

Hücum mexanizmi aşağıdakı ardıcıllıqla baş verir:

• ADB Skanlanması: Hücumçular şəbəkəni skan edərək ADB rejimi (port 5555) aktivləşdirilmiş yoluxmuş proksi düyünlərini müəyyən edirlər.
• Nəzarətin Əldə Edilməsi: Onlar cihazın IP ünvanına qarşı “adb connect [cihaz-ip]:5555” əmrini işə salaraq superistifadəçi (superuser) girişi əldə edirlər.
• Zərərli Yüklənmə: Daxil olduqdan sonra sistemləri müəyyən bir veb-ünvana yönləndirir və proqramı yükləmək üçün “krebsfiveheadindustries” kimi xüsusi bir parol istifadə edərək zərərli yükü (payload) yerləşdirirlər.
• Proksi Həssaslığı: Brundage, IPIDEA adlı ən böyük proksi şəbəkəsinin ciddi bir təhlükəsizlik boşluğunu açıq buraxdığını aşkar etdi. Bu boşluq cinayətkarlara heç bir autentifikasiya maneəsi olmadan insanların ev şəbəkələrinə daxil olmaq və qoşulmuş cihazlara ZPT yerləşdirmək imkanı yaradırdı.

Təhlükənin Miqyası

Synthient-in məlumatları göstərir ki, yoluxmuş cihazların təxminən üçdə ikisi Android TV qutularıdır, qalanları isə rəqəmsal foto çərçivələr və gizli proksi tətbiqləri işlədən mobil telefonlar arasında yayılmışdır. Botnet, bu cihazları fərqli cinayət fəaliyyətləri üçün istifadə edir:

• Spam mesajların ötürülməsi.
• Geniş miqyaslı reklam fırıldaqçılığı.
• Hesab ələ keçirmə cəhdləri (Account Takeovers).
• Böyük veb-saytların xidmətini dayandıra bilən paylanmış xidmətdən məhrumetmə hücumlarında (DDoS) iştirak etmək.

Kimwolf-un ən narahatedici xüsusiyyəti onun dayanıqlığıdır. Brundage, botnetin ləğv edilməsi cəhdindən sonra bir neçə gün ərzində sıfıra yaxın sistemdən yenidən 2 milyon yoluxmuş cihaza qalxaraq özünü bərpa etdiyini müşahidə etdi. Bu sürətli bərpa qabiliyyəti, IPIDEA-nın 100 milyondan çox mövcud yaşayış proksi ünvanından ibarət nəhəng hovuzundan keçərək yeni proksi düyünləri təmin etməsindən qaynaqlanır. Botnet operatorları bu sistemi proksi bant genişliyini icarəyə vermək, tətbiq quraşdırma xidmətləri satmaq və DDoS hücum imkanlarını digər cinayətkar qruplara təklif etməklə maliyyələşdirirlər.

Tövsiyələr və Həll Yolları

Bu tip hücumların yayılmasının qarşısını almaq üçün həm istifadəçilər, həm də texnologiya təminatçıları tərəfindən ciddi tədbirlər görülməlidir:

• İstifadəçi Səviyyəsində: İstifadəçilər dərhal marşrutlaşdırıcının və daxili şəbəkənin təhlükəsizliyini yoxlamalı, xüsusən də Android TV qutuları və ya rəqəmsal çərçivələr kimi tanınmamış istehsalçılara aid ucuz IoT cihazlarından istifadə etməkdən çəkinməlidirlər. Bütün istifadə edilməyən xüsusiyyətlər, xüsusən də Android Debug Bridge (ADB) söndürülməlidir.
• Proksi Təminatçıları Üçün: IPIDEA kimi yaşayış proksi xidmətləri dərhal sistemlərindəki autentifikasiya boşluqlarını yamamalı və DNS dəyişikliklərinə nəzarət mexanizmlərini sərtləşdirməlidirlər.
• İstehsalçılar Üçün: Cihazlar ilkin konfiqurasiyada ADB kimi yüksək riskli funksiyalar söndürülmüş vəziyyətdə göndərilməlidir.

Nəticə

Kimwolf botneti, IoT cihazlarının istehsalçı tərəfindən gələn zəiflikləri ilə böyük proksi şəbəkələrinin memarlıq çatışmazlıqlarının kəsişməsinin nəticəsidir. Təhlükəsizlik tədqiqatçıları, digər cinayətkar qrupların bu zəiflikləri kəşf etdikcə, bu hücum modelinin yayılacağını, yaşayış proksi şəbəkələrini kütləvi cihaz kompromisləri üçün əsas hədəfə çevirəcəyini proqnozlaşdırırlar. Bu, kiber təhlükəsizlik sahəsindəki bütün aktyorlar üçün təhlükəsizlik protokollarını yenidən qiymətləndirməyin zəruriliyini vurğulayır.