Thought Leadership
Nach der Zerschlagung der Botnetze Kimwolf und Aisuru im März 2026 sind aus den Überresten Dutzende konkurrierende Nachfolge-Botnetze entstanden.
Im März 2026 hatten Behörden aus den USA, Kanada und Deutschland gemeinsam mit zahlreichen Industriepartnern die Kontrollserver-Infrastruktur hinter den Botnetzen Aisuru, Kimwolf, JackSkid und Mossad zerschlagen und einen mutmaßlichen Kimwolf-Betreiber aus Kanada festgenommen.
Zusammen hatten die Netzwerke laut Behördenangaben zeitweise mehr als drei Millionen Geräte weltweit unter Kontrolle und wurden mit Angriffen von rund 30 Terabit pro Sekunde in Verbindung gebracht. Das Bedrohungsanalyse-Unternehmen Censys stellt in einem aktuellen Bericht jedoch fest:
„Obwohl der Takedown zu einer unmittelbaren Reduzierung aktiver Aisuru-Kontrollserver führte, hatte sich die gesamte Infrastruktur bekannter Aisuru-Server innerhalb von vier Monaten gegenüber ihrem Stand vor dem Takedown mehr als verdoppelt.“
Censys
Nach Angaben des Netzwerkausrüsters Arelion trägt Aisuru inzwischen wieder zu rund 33 Prozent des weltweiten DDoS-Angriffsverkehrs bei, Stand Juli 2026.
Mehr als 20 Nachfolger, aber kleinere Einzelangriffe
Kimwolf selbst ist nach übereinstimmenden Angaben inzwischen nicht mehr aktiv, sein technisches Vorgehen wurde jedoch rasch von mehr als 20 konkurrierenden Botnetz-Familien übernommen. Nokias Sicherheitsteam Deepfield beschreibt die Entwicklung als Hydra-Problem: Werde ein Kopf abgeschlagen, wüchsen mehrere neue nach. Nach Angaben des Teams, das an der ursprünglichen Zerschlagung von Kimwolf beteiligt war, stieg die Zahl täglich aktiver DDoS-Endpunkte binnen eines Jahres von rund einer Million auf 8 bis 9 Millionen.
Da sich die neuen Botnetze denselben Pool anfälliger Geräte teilen und dabei zunehmend gegeneinander konkurrieren, fallen einzelne Angriffe im Schnitt kleiner aus als zuvor: Die mittlere Angriffsgröße liegt inzwischen bei rund 20.000 bis 30.000 IP-Adressen, verglichen mit teils hunderttausenden Knoten bei früheren Kimwolf-Angriffen.
Ungepatchte Geräte als eigentliche Ursache
Nach Einschätzung von Censys bleibt das zugrunde liegende Problem eine kaum versiegende Zahl ungepatchter, unsicher konfigurierter Geräte. Allein für Zugangsseiten von GPON-Glasfasernetzwerken identifizierte das Unternehmen mehr als 117.000 aus dem Internet erreichbare, häufig noch mit Werkseinstellungen betriebene Systeme. Kimwolf hatte sich dabei über einen ungewöhnlichen Weg verbreitet: Statt selbst gezielt nach Schwachstellen zu suchen, mieteten die Betreiber Zugänge bei Anbietern sogenannter Residential-Proxy-Dienste und kompromittierten anschließend die daran beteiligten Geräte über den offen erreichbaren Android Debug Bridge Dienst, der auf zahlreichen günstigen, in China produzierten Android-Geräten mit inoffiziellen, versteckten Proxy-Komponenten standardmäßig aktiviert ist.
Censys benennt für dieses grundlegende Problem drei Ursachenstränge: Bauteilhersteller, die vereinfachte SDK-Komponenten ohne Sicherheitsvorgaben ausliefern, Gerätehersteller, die diese Komponenten entlang der Fertigungskette nicht auf Sicherheitslücken prüfen, sowie Endnutzer, die verfügbare Sicherheitsupdates ignorieren und bereits abgekündigte Altgeräte weiter betreiben. Nach Angaben von Nokia bleiben zudem selbst nach Behebung der ursprünglich ausgenutzten Schwachstelle viele betroffene Heimgeräte weiterhin kompromittiert, da Drittangreifer inzwischen eigene, zusätzliche Hintertüren auf den Geräten installiert haben.
Allyson Martinez, Sicherheitsforscherin bei Censys, zieht daraus ein nüchternes Fazit: „Solange diese grundlegenden Schwachstellen nicht behoben werden, ist davon auszugehen, dass Mirai und seine Nachfolger noch auf Jahre hinaus eine Sicherheitsbedrohung bleiben werden.“
(red)
