Auf den Punkt: Trotz internationalem Takedown von Kimwolf und Aisuru im März 2026 haben sich Aisurus Server-Infrastruktur binnen vier Monaten mehr als verdoppelt und über 20 Nachfolge-Botnetze aus Kimwolfs Methoden entwickelt, weil ungepatchte IoT- und Android-Geräte die eigentliche Ursache bleiben.
Der internationale Takedown der Botnetze Kimwolf und Aisuru im März 2026 hat die Bedrohung nicht beseitigt, sondern fragmentiert: Innerhalb von vier Monaten hat sich die Aisuru-Infrastruktur mehr als verdoppelt, und über 20 konkurrierende Nachfolge-Botnetze haben Kimwolfs Vorgehen übernommen.
Im März 2026 zerschlugen Behörden aus den USA, Kanada und Deutschland gemeinsam mit Industriepartnern die Kontrollserver-Infrastruktur der Botnetze Aisuru, Kimwolf, JackSkid und Mossad und nahmen einen mutmaßlichen Kimwolf-Betreiber aus Kanada fest. Die Netzwerke hatten zeitweise mehr als drei Millionen Geräte weltweit unter Kontrolle und wurden mit DDoS-Angriffen von rund 30 Terabit pro Sekunde in Verbindung gebracht. Das Bedrohungsanalyse-Unternehmen Censys stellt in einem aktuellen Bericht jedoch fest, dass sich die gesamte Infrastruktur bekannter Aisuru-Server binnen vier Monaten gegenüber dem Stand vor dem Takedown mehr als verdoppelt hat. Laut Netzwerkausrüster Arelion trägt Aisuru mit Stand Juli 2026 wieder rund 33 Prozent zum weltweiten DDoS-Angriffsverkehr bei.
Kimwolf selbst ist inzwischen nach übereinstimmenden Angaben nicht mehr aktiv, sein technisches Vorgehen wurde jedoch von mehr als 20 konkurrierenden Botnetz-Familien übernommen. Nokias Sicherheitsteam Deepfield, das an der ursprünglichen Zerschlagung beteiligt war, beschreibt die Entwicklung als Hydra-Problem: Werde ein Kopf abgeschlagen, wüchsen mehrere neue nach. Die Zahl täglich aktiver DDoS-Endpunkte stieg binnen eines Jahres von rund einer Million auf 8 bis 9 Millionen. Da sich die neuen Botnetze denselben Pool anfälliger Geräte teilen und zunehmend gegeneinander konkurrieren, fallen einzelne Angriffe im Schnitt kleiner aus: Die mittlere Angriffsgröße liegt inzwischen bei rund 20.000 bis 30.000 IP-Adressen, verglichen mit teils hunderttausenden Knoten bei früheren Kimwolf-Angriffen.
Für CISOs ist die eigentliche Ursache relevanter als die Zerschlagung einzelner Gruppen: eine kaum versiegende Zahl ungepatchter, unsicher konfigurierter Geräte. Censys identifizierte allein bei Zugangsseiten von GPON-Glasfasernetzwerken mehr als 117.000 aus dem Internet erreichbare Systeme, die häufig noch mit Werkseinstellungen betrieben werden. Kimwolf verbreitete sich über einen ungewöhnlichen Weg: Statt selbst gezielt nach Schwachstellen zu suchen, mieteten die Betreiber Zugänge bei Anbietern von Residential-Proxy-Diensten und kompromittierten anschließend die beteiligten Geräte über den offen erreichbaren Android Debug Bridge Dienst, der auf zahlreichen günstigen, in China produzierten Android-Geräten mit inoffiziellen, versteckten Proxy-Komponenten standardmäßig aktiviert ist.
Censys nennt drei Ursachenstränge für das Problem: Bauteilhersteller, die vereinfachte SDK-Komponenten ohne Sicherheitsvorgaben ausliefern, Gerätehersteller, die diese Komponenten entlang der Fertigungskette nicht auf Schwachstellen prüfen, sowie Endnutzer, die verfügbare Sicherheitsupdates ignorieren und abgekündigte Altgeräte weiter betreiben. Laut Nokia bleiben zudem selbst nach Behebung der ursprünglich ausgenutzten Schwachstelle viele betroffene Heimgeräte kompromittiert, da Drittangreifer eigene, zusätzliche Hintertüren installiert haben. Allyson Martinez, Sicherheitsforscherin bei Censys, zieht ein nüchternes Fazit: Solange diese grundlegenden Schwachstellen nicht behoben werden, sei davon auszugehen, dass Mirai und seine Nachfolger noch auf Jahre hinaus eine Sicherheitsbedrohung bleiben.
Quelle: www.it-daily.net · Erschienen 13. August 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.8.3.