2026/01/03 11:04
Kimwolf ボットネットが、あなたのローカルネットワークを監視しています。
RSS: https://news.ycombinator.com/rss
要約▶
Japanese Translation:
Kimwolf ボットネットは、世界中で200万台以上の Android TV ボックスに感染しています。特にベトナム、ブラジル、インド、サウジアラビア、ロシア、米国に集中しています。これらデバイスの3分の2が Amazon、BestBuy、Newegg、Walmart など主要リテーラーで販売されており、価格は40ドルから400ドルです。
Kimwolf は主に IPIDEA の1億点以上のエンドポイントプールを利用した住宅プロキシネットワークを乗っ取ることで拡散し、ユーザーのローカル LAN にトンネル接続します。攻撃者は RFC‑1918 制限を回避するために内部アドレス（例：192.168.x.x や 0.0.0.0）に解決される DNS レコードを使用し、次にルーターの DNS 設定を変更したり、LAN 上で Android Debug Bridge (ADB) に対してポート 5555 をスキャンします。多くのボックスはデフォルトでこのポートが有効になっています。
Synthient は 200 万台以上の感染を報告し、XLab は主に TV ボックスである1.8〜2万台のデバイスを確認していますが、動的 IP と稼働時間の多様性により正確な規模は測定が難しいです。2025年12月、Synthient は 11 のプロキシプロバイダーに通知し、その後 IPIDEA は内部アドレスへのリクエストをブロックし、NAT 範囲の DNS 解決を停止しました。
BADBOX 2.0 のような以前のボットネットは 2025年7月に Google の「John Doe」訴訟を招き、FBI は 2025年6月に犯罪者がセットアップ時にデバイスを事前感染またはバックドア化し、無許可で家庭内ネットワークへのアクセスを得ることを警告しました。
ユーザーへの推奨事項としては、ゲスト Wi‑Fi を使用すること、ブランドの付いていない TV ボックスを避けること、および自身のパブリック IP が Synthient の Kimwolf リストにあるか確認することが挙げられます。メーカー向けには、ファームウェア更新でデフォルトの ADB を無効化すること、プロキシプロバイダー向けにはプライベート範囲の DNS 処理を強化することが次のステップとして推奨されます。
本文
ご覧いただいている記事は、インターネット全体に向けたより緊急性の高いセキュリティアドバイザリを囲むスコープ内で展開される一連のスクープです。問題となっている脆弱性はすでに数か月前から悪用されていますが、今回初めて広く認知されるべき脅威といえます。要するに、インターネットルーター裏側にある内部ネットワークの安全性について「知っている」と思われていたことは、今や危険なほど古くなってしまったというわけです。
現在、セキュリティ企業Synthientは、世界中で200万台を超えるKimwolf感染機器を検出しています。そのうちベトナム・ブラジル・インド・サウジアラビア・ロシア・米国に集中していると報告しています。Synthientの調査によると、Kimwolf感染の3分の2はセキュリティや認証機能が備わっていないAndroid TVボックスです。
ここ数か月で爆発的に拡大した新しいボットネット「Kimwolf」は、専門家らが世界中で200万台以上のデバイスを感染させたと報告しています。Kimwolfマルウェアは侵害されたシステムを利用して、広告詐欺やアカウント乗っ取り試行、大量コンテンツスクレイピングなどの悪質なインターネットトラフィックを中継させるとともに、ほぼあらゆるウェブサイトを数日間ダウンさせることが可能な分散型サービス拒否（DDoS）攻撃に参加させます。
Kimwolfの驚異的な拡大は、その高速で広範囲に感染できる手法によって支えられています。それは、住宅プロキシネットワークを介して「リゾナンス」を行い、さらにユーザーのファイアウォールやインターネットルーターが想定する保護の裏側にあるデバイスへ感染させるというものです。
住宅プロキシは、顧客がウェブトラフィックを匿名化し、特定地域へローカライズできるように販売されます。最大手サービスでは、世界中どこでもほぼ任意の国や都市のデバイス経由でトラフィックをルーティングできます。
エンドユーザーのインターネット接続をプロキシノードへ変えるマルウェアは、しばしば不正なモバイルアプリやゲームに同梱されています。この住宅プロキシプログラムは、Amazon・BestBuy・Newegg・Walmartなどで販売される第三者商人の非公式Android TVボックスを通じて一般的にインストールされます。
これらTVボックスは40ドルから400ドルまで価格が幅広く、名前もブランドも無名のモデル番号でマーケティングされています。また、特定のサブスクリプション動画コンテンツを無料でストリーミングできるという宣伝も行われます。しかし、この取引には隠れたコストがあります。数か月後に検証すると、Kimwolf感染機器が200万台近くある中で、これらTVボックスがかなりの割合を占めていることが分かります。
住宅プロキシマルウェアが事前インストールされた非公式Android TVボックスの一例
画像: Synthient
Kimwolfはまた、主要なeコマースサイトで大量に販売されているインターネット接続デジタルフォトフレームにも感染できる強力さを持っています。2025年11月、Quokkaの研究者がPDF報告書でAndroidベースのデジタル写真枠（Uhaleアプリ）に関する深刻なセキュリティ問題を詳細に記述しました—3月25日現在Amazonベストセラーのデジタルフレームも含む。
これらフォトフレームと非公式Android TVボックスには、以下の2つの主なセキュリティ問題があります：
- 多数がマルウェアを事前インストールしているか、ユーザーに非公式Android App Store（マルウェア含む）からダウンロードさせる必要があり、デバイスを動画コンテンツ盗用目的で使用する。最も典型的な未招待ゲストは、デバイスを住宅プロキシノードへ変える小規模プログラムです。
- 内部にセキュリティや認証機能が組み込まれていない数少ないインターネット接続マイクロコンピュータボードに依存している。つまり、同じネットワーク上のデバイスを1回のコマンドで一斉に侵害できる可能性があります。
127.0.0.1という場所は特別です。
これら2つのセキュリティ現実が注目されたのは、2025年10月、ロチェスター工科大学の学部生がKimwolfの成長を詳細に追跡し、日常的にその製作者と直接やり取りしたときです。
Synthient創業者ベンジャミン・ブルンダージ（22歳）は、2025年10月末にKrebsOnSecurityに「KimwolfはAisuruのAndroid変種である可能性が高い」と述べました。Aisuruは昨秋多くの記録破りDDoS攻撃で誤って非難されたボットネットです。
ブルンダージによれば、Kimwolfは世界最大級の住宅プロキシサービスの明らかな脆弱性を悪用して急速に拡大しました。この脆弱性の核心は、プロキシサービスが顧客から個々のプロキシエンドポイント内部サーバーへの「上流」アクセスを十分に防止していない点です。
多くのプロキシサービスはRFC-1918で指定されたローカルアドレス（10.0.0.0/8、192.168.0.0/16、172.16.0.0/12）へのリクエストを明示的に拒否する基本手順を踏んでいます。これらはNAT範囲と呼ばれ、複数デバイスが単一のパブリックIPアドレスを共有してインターネットへ接続します。
しかしブルンダージは、Kimwolf運営者がDNS設定をRFC-1918範囲に合わせることで、何百万もの住宅プロキシエンドポイント内部ネットワーク上のデバイスと直接通信できることを発見しました。
「既存のドメイン制限を回避するために192.168.0.1または0.0.0.0を指すDNSレコードを使用することが可能です」とブルンダージは2025年12月中旬に住宅プロキシプロバイダーへ送付した初のセキュリティアドバイスで述べました。「この手法により、攻撃者は現在のデバイスやローカルネットワーク上のデバイスへ精密なリクエストを送ることができ、マルウェアを落とすために活用されています。」**
デジタルフォトフレームで言及したように、多くの住宅プロキシサービスはモバイルデバイス上で動作し、ゲームやVPNなどの隠れたコンポーネントがユーザーの携帯電話を住宅プロキシへ変えることがあります。
今日発表された報告書では、SynthientはKimwolfに関わる主要アクターがアプリインストール、住宅プロキシ帯域幅販売、およびDDoS機能販売でボットネットを収益化していると指摘しています。
「Synthientは、脅威アクターがデバイス感染・ネットワークアクセス取得・センシティブ情報アクセスのために制限なしでプロキシネットワークへアクセスする傾向が高まることを観測します」と報告書は述べています。「Kimwolfは、不正なプロキシネットワークが攻撃ベクトルとして有効であるリスクを浮き彫りにしています。」**
Android Debug Bridge（ADB）
数枚の非公式Android TVボックスモデルを購入した後、ブルンダージはプロキシ脆弱性だけではKimwolf拡大の全因子を説明できないことに気づきました。彼がテストしたほぼすべてのデバイスは工場出荷時にADBモードが有効になっていました。
多くの非公式Android TVボックスは「中国製。海外使用のみ。」と不吉な表示を含んでいます。
画像: Synthient
ADBは、製造・テストプロセス中にのみ使用される診断ツールです。このモードが有効なまま出荷されたデバイスは、認証されていない接続要求を常時受け入れるため、重大な安全性リスクを抱えます。
例として、コマンドプロンプトで「adb connect :5555」と入力すると、すぐに管理者権限（スーパーユーザー）への無制限アクセスが可能になります。
ブルンダージは12月初旬までにIPIDEAという中国ベースの住宅プロキシネットワーク（世界最大級）がKimwolf感染を増幅させていることを確認しました。「Kimwolfはこの1週間でほぼ倍増しました」と彼はKrebsOnSecurityに語り、IPIDEAおよび10社の他のプロバイダーへ調査結果を通知する準備を進めました。
Synthientは2025年12月1日、KimwolfオペレーターがIPIDEAのプロキシネットワーク経由で内部ネットワークに侵入し、感染機器にマルウェアを配信していることを確認しました。「感染したシステムが特定のインターネットアドレスへアクセスし、『krebsfiveheadindustries』というパスフレーズを呼び出すことで悪意あるダウンロードを開始します」と報告。
12月30日、Synthientは前週にKimwolfによって活用されたIPIDEAアドレスが約200万件であったと追跡しました。ブルンダージは「一度のテイクダウン後、Kimwolfが再構築し、数日間でIPIDEAプロキシエンドポイントを介して2百万台に拡大」と述べました。
IPIDEAは過去1週間だけで100億台以上の住宅プロキシエンドポイントへのアクセスを宣伝しています。SynthientはIPIDEAプール内のデバイスを分析し、3分の2が認証不要で侵害可能なAndroidデバイスだったと報告しました。
セキュリティ通知と対応
Kimwolf感染IPアドレスとIPIDEA販売IPアドレスの重複を図った後、ブルンダージは公表する準備が整いました。脆弱性は数か月前から悪用されていたものの、限られたサイバー犯罪者にしか知られていなかったと述べました。しかし、プロバイダーが理解・パッチを行う機会を与えずに公開すれば、さらに多くのサイバー犯罪グループがサービスを悪用する恐れがあります。
12月17日、ブルンダージは影響を受けたと見込まれる11社へセキュリティ通知を送り、各社に数週間で問題解決の機会を与えました。多くのプロバイダーはIPIDEAの再販業者であり、会社サービスをホワイトラベル化していました。
KrebsOnSecurityは2025年10月にIPIDEAへコメントを求め、Aisuruボットネットの台頭から利益を得たとする主張について報じました。12月25日には「オリバー」という名前だけで知られるIPIDEA従業員からメールが届き、「IPIDEAはAisuruに関与していない」と否定しました。
「IPトレース記録とサプライヤー協力契約を総合的に検証した結果、当社のIPリソースとAisuruボットネットとの関連は確認できませんでした。また、権威ある機関から悪意ある活動への関与通知も受けていません」とオリバーは述べました。
「外部協力においてはサプライヤーの資格検証・資源合法性認証・継続的動的監視を含む3層レビュー機構を実施し、全プロセスでコンプライアンスリスクを排除しています。」
「IPIDEAは不公平競争や悪質な中傷に強く反対し、常に適正運営と誠実協力で市場競争に参加し、業界全体が不正行為を放棄し、公正でクリーンな市場エコシステムを構築するよう呼びかけます」とオリバーは続けました。**
同日、ブルンダージはIPIDEAのセキュリティ担当者（ボイロン）から受信した返信も共有しました。ボイロンは「プロキシサービスは設計上内部/ローカルアドレス空間へのアクセスを許可していない」と説明し、「テスト・デバッグ専用に残されたレガシーモジュールが内部ネットワークアクセス制限を完全に継承しておらず、特定条件下で悪用できる可能性がある」という点を指摘しました。
「影響パスはすべて完全にブロックされ、モジュールはオフライン化されました。」
ボイロンはまた、DNS解決への内部（NAT）IP範囲のブロックや「高リスク」ポートでのトラフィック転送を防止する複数の緩和策を導入したと述べました。
ブルンダージはIPIDEAが脆弱性を修正したように見え、Kimwolf攻撃者がIPIDEA以外のプロキシサービスをターゲットにしていないことも指摘しました。
Riley Kilmer（Spur.us創業者）は、IPIDEAとその関連販売業者がローカルLANへの完全かつ未フィルタ化アクセスを許可したと確認し、「Superbox」という人気の非公式Android TVボックスはlocalhost:5555でADBモードを起動したままになる」と述べました。
過去の反響
ブルンダージとキラーは、IPIDEAがかつて「911S5 Proxy」（2014-2022）という住宅プロキシネットワークを継承した第二または第三世代であると指摘しています。911S5は2022年にKrebsOnSecurityの詳細調査後に閉鎖され、悪意あるハッカーが顧客・支払情報を破壊したとして訴えられました。2024年7月には米国財務省が911S5創設者を制裁し、司法省が中国人被告を逮捕しました。
キラーはIPIDEAが「922 Proxy」という姉妹サービスも運営しており、初期から911S5への代替として提示されていると述べました。
Synthientの通知を受けたプロバイダーにはオキシラブが含まれます。ブルンダージは12月31日にオキシラブセキュリティチームから受信したメールを共有し、同社が報告書で指摘された脆弱性に対処するための変更を実施していると認めました。
「ブロックリスト回避とプライベートネットワークアドレスへのリクエスト転送を制御ドメインで解消しました。」
ただし、Kimwolfまたは他者が同社ネットワークを悪用したという証拠はありません。
「並行して報告された攻撃活動に関連するドメインのトラフィックも観測されませんでした」とオキシラブは述べました。
実践的な影響
次のようなシナリオを考えてみてください：あなたのWi‑Fiネットワークを数日間利用する友人や家族が、マルウェア感染したスマートフォンで住宅プロキシノードとして機能していることに気づかずにアクセス権を与えると、そのIPは住宅プロキシ提供者サイト上でレンタル表示されます。
Kimwolfの悪意ある攻撃者は、あなたのIP上のプロキシサービスを利用し、リバーストンネル経由でLANへ侵入し、ADBモードが有効なデバイスを自動的にスキャンします。ゲストが離れた後も、ディジタルフォトフレームや非公式Android TVボックスという2台のデバイスがKimwolf感染状態になる可能性があります。
もう一つの恐ろしいシナリオ：攻撃者はプロキシネットワークへのアクセスを使い、インターネットルーター設定を悪意あるDNSサーバへ変更し、ウェブブラウザが目的地を制御できるようにします。2012年のDNSChangerマルウェアが50万台以上のルーターを感染させたことも思い出してください。
XLab（中国セキュリティ企業）からは、Kimwolfの台頭を追跡した最新ブログ記事があります。2024年10月24日にボットネット制御サーバがCloudflare DNSに「14emeliaterracewestroxburyma02132[.]su」というドメインで多数照会し、Google.comやApple.comを上回るトップ5ドメインリスト入りしたと報告しています。
XLabはKimwolfが約180万〜200万台のデバイスを制御しており、ブラジル・インド・米国・アルゼンチンに集中していると示しました。
「分析ではKimwolfの主要感染ターゲットは住宅ネットワーク環境で展開されたTVボックスだと指摘しています」とXLab研究者は述べました。
「住宅ネットワークは動的IP割り当てを採用するため、デバイス数はIP数だけでは正確に測れません。つまり2.7百万IPの観測が同じく2.7百万感染デバイスを意味しない」
XLabはまた、時差や利用習慣（夜間オフ、休日TVボックス未使用など）で感染デバイスが一斉にオンラインにならず、単一時間枠での総合観測が困難だと指摘しています。
「Kimwolf作者は『Yours Truly』への強烈な執着を示し、複数箇所にイースターエッグ（自分の名前）が散りばめられています」とXLabは報告しました。
分析とアドバイス
Kimwolfのような脅威は、平均ユーザーが内部ネットワーク上にどんなデバイスが脆弱か、または既に住宅プロキシマルウェアで感染しているかを判断するのが難しい点が挙げられます。
仮に「特定モバイルデバイスが住宅プロキシ活動と結びついている」と判明したとしても、そのアプリや不要コンポーネントを隔離・除去する必要があります。
さらに、一般消費者からはこの種の可視性を得るために必要なツールや知識が不足しています。ネットワーク設定で全トラフィックログを取得し解析する作業は、多くのインターネットユーザー（また多くのセキュリティ専門家）にはハードルが高いです。
幸い、Synthientはウェブサイトに「あなたのパブリックIPアドレスがKimwolf感染機器に見られたかどうか」を確認できるページを設置しています。また、BrundageはKimwolfボットネットで最も多く代表されている非公式Android TVボックスモデル一覧をまとめています。
「もし自分のTVボックスがリストに載っていれば、ネットワークから取り外すだけです」
さらに家族や友人のネットワーク上に同様デバイスがある場合は、この記事へのリンクを共有し、接続解除の重要性を説明しましょう。
Kimwolfボットネットで最も多く代表されている15製品（Synthientによる）
Chad Seaman（Akamai Technologies主なセキュリティ研究者）は、消費者がこれら偽Android TVボックスを完全に回避すべきだと訴えています。
「消費者はこれらの低品質デバイスや住宅プロキシ計画を恐怖で見るべきです。」
「LAN（ローカル内部ネットワーク）が安全だと考える人々への警告が今すぐ必要です」
彼はまた、Android以外でもMac・Windows・iPhone向けSDKがある住宅プロキシサービスも存在し、意図せずにネットワークを解放する可能性を指摘しました。
2025年7月、Googleは「ジョン・ドゥ」訴訟（PDF）を提出し、10件未特定被告集団「BadBox 2.0 Enterprise」を対象としたボットネットに対して訴えました。このボットネットは1,000万台以上の非公式Androidストリーミングデバイスで広告詐欺を行い、購入前に複数デバイスを侵害し、悪意あるアプリダウンロードも強要する可能性があります。
Googleの訴訟は連邦捜査局（FBI）の2025年6月勧告後に続きました。FBIはユーザー購入前にマルウェアを埋め込む、またはセットアップ時にバックドア付きアプリをインストールしていると警告しました。
BADBOX 2.0は2024年の元キャンペーン停止後に発見されました。
「消費者は名前ブランドにこだわるべきです」
「無料や低価格で提供されるものには注意し、スマホに許可するアプリも慎重に選びましょう。」
多くのワイヤレスルーターでは「ゲストネットワーク」を即時設定でき、ゲストがインターネットを閲覧できてもローカルデバイスと通信できないようにできます。
一部のプロテック派は、これら非公式Android TVボックスの安全性を軽視し、廃棄を否定します。彼らは「ネットワーク接続デバイスは本質的に悪くも善くもなく、工場感染したボックスでも新ファームウェアやカスタムROMでマルウェアを除去できる」と主張しています。しかし、多くの購入者は「無料で手に入る」という価値観からこれらデバイスを選びます。
この問題に対し、業界全体がe‑コマースベンダーへ圧力をかけているのはまだ見受けられません。TVボックスは悪意あるソフトウェアを内蔵しながらも、セキュリティや認証機能を欠き、サイバー犯罪者にとって魅力的な対象です。
本シリーズPart IIでは、Kimwolfの開発・最大利用者が残した手掛かりを掘り下げていきます。お楽しみに。