Publié le 6 janvier 2026 à 09h07. Un botnet baptisé Kimwolf a compromis plus de deux millions d’appareils à travers le monde, transformant secrètement les connexions internet de leurs utilisateurs en nœuds proxy utilisés à des fins illégales, notamment la fraude en ligne et les cyberattaques.
- Plus de deux millions d’appareils ont été infectés par le malware Kimwolf.
- Les appareils compromis sont utilisés comme serveurs proxy sans le consentement des propriétaires.
- La vulnérabilité exploite une faille de sécurité dans les réseaux proxy et les appareils Android TV bon marché.
Un nouveau malware particulièrement dangereux, nommé Kimwolf, s’est propagé discrètement à plus de deux millions d’appareils dans le monde entier. Les appareils infectés sont utilisés à l’insu de leurs propriétaires comme serveurs proxy illégaux, ouvrant la voie à une multitude d’activités malveillantes.
Les chercheurs en cybersécurité ont identifié cette menace grandissante à la fin de l’année 2025. Le botnet est actuellement exploité pour commettre des fraudes en ligne, lancer des cyberattaques d’envergure et dérober des informations personnelles à des millions d’utilisateurs.
L’enquête a révélé que le malware cible principalement les boîtiers Android TV et les cadres photo numériques vendus en ligne à bas prix. Nombre de ces appareils sont livrés avec des paramètres de sécurité par défaut compromettants, facilitant l’infection.
Benjamin Brundage, un chercheur en cybersécurité de 22 ans et fondateur de Synthient, a commencé à enquêter sur Kimwolf en octobre 2025, alors qu’il préparait ses examens finaux au Rochester Institute of Technology. Ses recherches ont mis en lumière une méthode d’attaque sophistiquée exploitant une vulnérabilité dans le fonctionnement du plus grand service de proxy résidentiel au monde.
Brundage a découvert que les attaquants pouvaient contourner les mesures de sécurité en modifiant les paramètres DNS pour accéder aux réseaux domestiques privés via les appareils proxy infectés. Il a notamment identifié une faille critique au sein d’IPIDEA, le plus important réseau de proxy, qui permettait aux criminels de pénétrer dans les réseaux domestiques sans aucune authentification et d’installer des logiciels malveillants sur les appareils connectés.
Brian Krebs, analyste et chercheur chez KrebsOnSecurity, a souligné l’importance des conclusions de Brundage après que ce dernier a alerté plusieurs fournisseurs de proxy sur cette vulnérabilité.
Mécanisme d’attaque
L’analyse de KrebsOnSecurity a révélé un double problème de sécurité : de nombreux téléviseurs non officiels sont livrés avec des logiciels malveillants préinstallés en usine, et ces appareils disposent d’une fonctionnalité puissante, l’Android Debug Bridge, qui reste activée. Cela permet à quiconque connecté au même réseau de prendre le contrôle total de l’appareil avec une simple commande.
L’attaque se propage grâce à une combinaison de faiblesses de sécurité dans les appareils de streaming bon marché et de vulnérabilités dans les réseaux proxy. Les attaquants identifient les points de terminaison proxy infectés en recherchant les appareils sur lesquels le mode Android Debug Bridge est activé, puis utilisent une technique simple : ils envoient la commande « adb connect [device-ip]:5555 » pour obtenir un accès superutilisateur.
Une fois à l’intérieur, ils téléchargent le malware en demandant aux systèmes de visiter une adresse Web spécifique et d’utiliser la phrase de passe « krebsfiveheadindustries » pour déverrouiller le téléchargement malveillant.
Selon les données de Synthient, les deux tiers des appareils infectés sont des boîtiers Android TV, le reste des infections se propageant sur les cadres photo numériques et les téléphones mobiles exécutant des applications proxy cachées.
Le logiciel malveillant force ces appareils à relayer des messages de spam, à commettre des fraudes publicitaires, à tenter de s’approprier des comptes et à participer à des attaques par déni de service distribué (DDoS) qui peuvent paralyser des sites Web importants pendant de longues périodes.
La découverte des méthodes de persistance de Kimwolf révèle comment le botnet se reconstruit après des tentatives de démantèlement. Brundage a observé que le réseau pouvait se rétablir rapidement, passant de presque aucun système infecté à deux millions d’appareils compromis en quelques jours seulement, grâce à un tunnel via la fourniture de nouveaux proxys d’IPIDEA.
Cette capacité de récupération rapide est due à l’énorme pool de plus de 100 millions d’adresses proxy résidentielles disponibles auprès d’IPIDEA. Les opérateurs de logiciels malveillants monétisent leur botnet via plusieurs canaux : vente de services d’installation d’applications, location de bande passante proxy et offre de capacités d’attaque DDoS à d’autres criminels.
Les chercheurs en sécurité s’attendent à ce que ce type d’attaque se propage à mesure que davantage de groupes criminels découvrent ces faiblesses, transformant les réseaux proxy résidentiels en cibles privilégiées pour la compromission d’appareils à grande échelle et les violations de réseaux.
À lire aussi
