1,8 million de boîtiers Android TV piratés alimentent ce botnet indestructible

1,8 million de boîtiers Android TV alimentent le botnet Kimwolf, qui utilise la blockchain pour survivre aux démantèlements. La France est ciblée.

Votre vieux boîtier Android TV acheté une trentaine d’euros pour regarder des séries participe peut-être, à votre insu, à des attaques informatiques massives contre des sites web. C’est la réalité que révèle un rapport de l’Unit 42 de Palo Alto Networks publié le 11 août 2026 : le botnet Kimwolf, que les autorités croyaient neutralisé, avait déjà évolué bien avant leur intervention.

Quand les autorités frappent trop tard : le calendrier qui dérange

En mars 2026, une opération coordonnée a visé plusieurs réseaux malveillants, dont Kimwolf et Aisuru. Les enquêteurs ont saisi les serveurs de commande et, en mai, arrêté au Canada le cerveau présumé du réseau. Une victoire en apparence. Pourtant, le calendrier raconte une autre histoire.

La septième version de Kimwolf fonctionnait déjà depuis février 2026, soit un mois avant la saisie. Les opérateurs avaient donc anticipé l’intervention et mis en place une architecture de remplacement avant même d’être touchés. Les autorités ont frappé une infrastructure que ses propres créateurs étaient déjà en train d’abandonner.

Ce décalage n’est pas anodin. Il montre que les méthodes classiques de démantèlement, qui consistent à couper l’accès aux serveurs de commande, perdent de leur efficacité face à des réseaux qui se réinventent en avance.

Une nouvelle version conçue pour survivre à tout

La version 7 de Kimwolf introduit deux changements majeurs qui rendent le réseau bien plus difficile à neutraliser et à détecter.

D’abord, la façon d’attaquer a changé. Au lieu d’envoyer des paquets bruts, facilement identifiables par les systèmes de défense, le botnet construit désormais des requêtes HTTP/2 complètes qui imitent le comportement du navigateur Chrome, jusqu’à l’ordre exact des en-têtes. Les outils anti-déni de service reposent précisément sur la capacité à distinguer le trafic légitime du trafic malveillant. Quand cette distinction devient impossible, le site attaqué se retrouve face à un choix brutal : répondre à tout et tomber sous la charge, ou bloquer des visiteurs réels qu’il ne sait plus différencier des machines infectées.

Ensuite, la résistance aux démantèlements repose sur un mécanisme inédit. Habituellement, l’adresse du serveur de commande est inscrite dans le code sous forme de nom de domaine. Les enquêteurs n’ont alors qu’à contacter le bureau d’enregistrement pour couper le réseau. Ici, Kimwolf v7 va chercher ses instructions dans l’Ethereum Name Service, un annuaire hébergé sur la blockchain. Le code embarque cinq services publics qu’il consulte en les mélangeant à chaque tentative. Si les cinq échouent, il bascule vers une adresse Tor codée en dur. Aucune société à contacter, aucun enregistrement à saisir.

La blockchain, nouveau bouclier des botnets

Ce recours à la blockchain pour héberger les instructions de commande n’est plus une exception. Il y a deux semaines, des chercheurs signalaient Dysphoria, un botnet de 200 000 appareils utilisant le même mécanisme pour résister aux tentatives de neutralisation. Ce qui semblait être une curiosité technique il y a quelques mois devient une pratique courante dans la conception de ces réseaux.

Les chercheurs de l’Unit 42 situent les machines de commande de Kimwolf en Russie, sur un réseau enregistré à Saint-Pétersbourg, avec quatre serveurs partageant une même clé SSH. Ils ne se prononcent pas sur l’identité des auteurs, qui pourraient être les opérateurs d’origine ou un groupe tiers ayant repris le nom.

1,8 million de boîtiers Android TV dans le viseur

La puissance de Kimwolf repose sur un vivier d’appareils compromis. Fin 2025, le réseau comptait 1,8 million d’appareils recensés, composés en grande partie de boîtiers Android TV et de téléviseurs connectés. Ces appareils, souvent achetés à bas prix et rapidement oubliés dans un coin du salon, constituent des cibles idéales : peu mis à jour, rarement surveillés, et connectés en permanence.

Lors d’une campagne de trois jours en novembre 2025, les adresses visées par les attaques se répartissaient entre les États-Unis, la Chine, l’Allemagne, le Canada et la France. Le lecteur français est donc directement concerné par ce phénomène.

• Le botnet Kimwolf v7 était opérationnel dès février 2026, avant la saisie de mars.
• Il imite le comportement de Chrome pour rendre ses attaques indétectables.
• Ses instructions transitent par la blockchain Ethereum, hors de portée des réquisitions judiciaires.
• Il s’appuie sur 1,8 million d’appareils, dont de nombreux boîtiers Android TV.
• La France figure parmi les pays ciblés lors de la campagne de novembre 2025.

Ce que vous pouvez faire dès maintenant

Le Cyber Resilience Act doit traiter ce problème à partir de décembre 2027. Les fabricants devront alors fournir des correctifs sur toute la durée de vie annoncée du produit et signaler à l’ENISA les vulnérabilités activement exploitées. Mais d’ici là, les appareils Android TV déjà en circulation restent exposés.

Trois gestes concrets permettent de réduire le risque. Vérifier que votre boîtier reçoit encore des mises à jour de sécurité est le premier réflexe. Changer les identifiants d’accès fournis par défaut constitue une barrière supplémentaire. Enfin, débrancher les appareils qui ne servent plus reste la mesure la plus radicale et la plus efficace. Ces actions ne garantissent pas une protection totale, mais elles réduisent considérablement les chances que votre téléviseur connecté rejoigne un réseau malveillant à votre insu.

Christophe Cohen

Passionné par le SEO et l'écriture, cela fait maintenant 15 ans que j'écris pour plusieurs sites internet d'information. J'adore le foot, l'OM, la mauresque, le soleil et je déteste la pluie, les crabes et les méduses.