Onderzoekers waarschuwen voor een botnet dat Android tv-boxes via residential proxies en de Android Debug Bridge (ADB) infecteert en vervolgens gebruikt voor het uitvoeren van ddos-aanvallen. Een residential proxynetwerk laat het verkeer van betalende klanten via de systemen en internetverbindingen van legitieme thuisgebruikers lopen. Hiervoor draait er software op het systeem van de gebruiker.

Er zijn verschillende manieren waarop residential proxydiensten te werk gaan. Zo kunnen ze app-ontwikkelaars betalen om hun SDK (software development kit) toe te voegen. Zodra mensen de app installeren zorgt de SDK ervoor dat het systeem onderdeel van de proxydienst wordt. Andere mogelijkheden zijn bijvoorbeeld vpn-aanbieders met verborgen voorwaarden, gehackte IoT-apparaten, malware en mensen die bewust tegen betaling proxy-software op hun systemen installeren.

Er zijn Android tv-boxes waarbij de ADB standaard staat ingeschakeld en bereikbaar is op poort 5555. De Android Debug Bridge is een tool waarmee Android-apparaten via bijvoorbeeld een computer zijn te benaderen. Volgens cybersecuritybedrijf Palo Alto Networks maken de aanvallers gebruik van de residential proxysoftware die op de tv-boxes draait. Sommige van deze apparaten worden standaard met residential proxysoftware geleverd, aldus Cloudflare. Via deze software kan men toegang krijgen tot de ADB-poort die vanaf het lokale netwerk toegankelijk is.

Via ADB kan er zonder enige authenticatie malware worden geïnstalleerd die de tv-box onderdeel van het Kimwolf-botnet maakt en daarna gebruikt voor het uitvoeren van ddos-aanvallen. Palo Alto Networks stelt dat organisaties Android tv-boxes als niet-vertrouwde hardware moeten behandelen en moeten scheiden van het bedrijfsnetwerk. Verder wordt aangeraden om ADB uit te schakelen of toegang te beperken tot 'usb-only'. Dit voorkomt de aanvalsvector waar het botnet gebruik van maakt.