// CLUBIC — FINANZA
Boîtiers Android TV : Kimwolf renaît avec une méthode d'attaque inédite
Saisie en mars, arrestation en mai : les autorités pensaient avoir cassé le botnet. La version 7 tournait déjà depuis février, avec un carnet d'adresses logé sur Ethereum.
Démanteler un botnet revient à couper les fils d'une marionnette. On neutralise les serveurs qui distribuent les ordres, et le parc d'appareils infectés se retrouve sans chef d'orchestre, incapable de se coordonner pour frapper. C'est exactement l'opération menée en mars 2026 contre Aisuru, Kimwolf et deux autres réseaux. D'après un rapport de l'Unit 42 de Palo Alto Networks publié le 11 août, la nouvelle version de Kimwolf tournait pourtant déjà depuis février.
Le principal changement de cette septième version concerne la façon dont le botnet inonde ses cibles. Au lieu d'envoyer des paquets bruts, facilement repérables par leur allure inhabituelle, il monte des requêtes HTTP/2 complètes en imitant l'empreinte de Chrome, jusqu'à l'ordre des en-têtes et au comportement du navigateur. La défense anti-déni de service repose pourtant sur ce tri : elle identifie le trafic factice et le jette avant qu'il n'atteigne le serveur.
Quand les requêtes malveillantes deviennent indiscernables de celles d'un visiteur normal, le site attaqué se retrouve devant un choix inconfortable. Soit il répond à tout et finit par tomber, soit il commence à refuser des clients légitimes qu'il ne sait plus distinguer des machines infectées.
Le deuxième changement concerne la résistance aux démantèlements, et il tient à la façon dont chaque machine infectée va chercher ses ordres. Habituellement, l'adresse du serveur de commande est inscrite en dur dans le code, sous forme de nom de domaine. Les enquêteurs n'ont alors qu'à la réclamer au bureau d'enregistrement pour décapiter le réseau d'un coup. Cette version va chercher son adresse dans l'Ethereum Name Service, un annuaire hébergé sur la blockchain. Le code embarque cinq services publics qu'il mélange à chaque tentative, et bascule vers une adresse Tor codée en dur si les cinq échouent. Aucune société à qui adresser une réquisition, aucun enregistrement à saisir.
Les chercheurs situent les machines de commande en Russie, sur un réseau qui serait enregistré à Saint-Pétersbourg, quatre serveurs partageant une même clé SSH. Ils ne se prononcent pas sur l'identité des auteurs, qui pourraient être les opérateurs historiques comme un groupe tiers profitant de la notoriété du nom.
Le calendrier mérite qu'on s'y arrête, parce qu'il inverse la lecture habituelle de ces opérations. La version 7 était opérationnelle en février, l'infrastructure des versions précédentes a été saisie en mars et le cerveau présumé du réseau a été arrêté au Canada en mai. Les autorités ont donc frappé une architecture que ses opérateurs étaient déjà en train d'abandonner.
Le recours à la blockchain pour héberger les instructions n'a par ailleurs plus rien d'isolé. Il y a deux semaines, des chercheurs alertaient sur Dysphoria, un botnet de 200 000 appareils qui utilise le même mécanisme pour survivre aux tentatives de neutralisation. Ce qui ressemblait à une curiosité technique voilà quelques mois est en train de devenir une case obligatoire du cahier des charges.
Reste le vivier, et c'est là que le lecteur français entre dans l'équation. Kimwolf puise l'essentiel de sa puissance dans des boîtiers Android TV et des téléviseurs connectés compromis, soit 1,8 million d'appareils recensés fin 2025. Lors d'une campagne de trois jours en novembre de la même année, les adresses visées se répartissaient entre les États-Unis, la Chine, l'Allemagne, le Canada et la France. Le Cyber Resilience Act doit précisément traiter ce point à partir de décembre 2027. Les fabricants devront fournir des correctifs sur toute la durée de vie annoncée du produit, et signaler à l'ENISA les vulnérabilités activement exploitées.
D'ici là, le vieux boîtier à trente euros acheté pour regarder des séries reste un candidat idéal, et son propriétaire n'en saura probablement jamais rien. Vérifi