KimWolf
le botnet qui a compromis plus de deux millions d’appareils.

KimWolf apparaît publiquement à la fin de 2025. Les recherches de Synthient, XLab et d’autres équipes de sécurité le présentent comme une variante Android liée à l’écosystème Aisuru, un autre botnet spécialisé dans les attaques par déni de service distribué.

Sa particularité tient à la manière dont ses opérateurs ont exploité les réseaux de proxies résidentiels. Ces services permettent de faire transiter du trafic Internet par des appareils situés chez des particuliers ou des entreprises. Lorsqu’ils étaient mal configurés, ils pouvaient exposer indirectement des équipements du réseau local.

Synthient indique que KimWolf a profité de cette faiblesse pour atteindre des appareils Android qui n’étaient normalement pas accessibles directement depuis Internet. Le botnet pouvait ainsi pivoter depuis un proxy résidentiel vers des équipements internes disposant d’un service Android Debug Bridge insuffisamment protégé.

Cette méthode a accéléré sa croissance à une échelle inhabituelle. Les chercheurs de Synthient ont observé des campagnes de scan presque continues et des concentrations importantes d’appareils compromis au Vietnam, au Brésil, en Inde, en Arabie saoudite, en Russie et aux États-Unis.

Pour replacer ce sujet dans l’actualité plus large de la cybersécurité, notre article sur la fuite massive de données touchant plusieurs mutuelles montre combien les attaques modernes combinent souvent faiblesse technique et exploitation de systèmes déjà connectés.

KimWolf a exploité cette possibilité pour rechercher des appareils disposant de services comme ADB sur des ports exposés localement. Une fois l’appareil trouvé, le botnet pouvait tenter de déposer et exécuter sa charge malveillante.

Synthient indique avoir observé environ six millions d’adresses IP correspondant à des appareils potentiellement vulnérables dans les environnements analysés. Cela ne signifie pas que six millions d’appareils ont tous été infectés, mais cela montre l’ampleur de la surface d’attaque.

Le fournisseur IPIDEA, identifié comme l’un des principaux réseaux concernés, a déployé fin décembre 2025 des restrictions destinées à empêcher l’accès aux appareils du réseau local et à bloquer une série de ports sensibles.

Ce correctif a réduit une partie de la voie de propagation de KimWolf, mais il n’a pas fait disparaître instantanément les appareils déjà compromis.

Le même principe de logiciel ou service retiré mais encore présent existe aussi côté mobile. Notre article sur les alertes Google prévues pour les applications Android retirées du Play Store rappelle qu’un composant installé peut rester actif longtemps après la disparition de son canal normal de distribution.

Le chiffre de deux millions doit être attribué correctement. Il vient principalement des observations de Synthient, qui estime que le nombre réel d’appareils infectés pouvait même être supérieur. Le DOJ, dans sa plainte contre Jacob Butler, parle pour sa part de plus d’un million d’appareils compromis par KimWolf.

Synthient indique également avoir observé environ douze millions d’adresses IP uniques par semaine associées au botnet. Là encore, il ne faut pas confondre ce nombre avec douze millions d’appareils : une même machine peut apparaître sous plusieurs adresses IP au fil du temps.

Le ministère américain de la Justice affirme que KimWolf a émis plus de 25 000 commandes d’attaques DDoS. Ces attaques ont visé des serveurs et réseaux dans plusieurs pays, y compris des adresses appartenant au réseau du département américain de la Défense.

Le DOJ relie également KimWolf à des attaques mesurées à près de 30 térabits par seconde. Ce niveau est exceptionnel et illustre le changement d’échelle rendu possible par les botnets composés de millions d’équipements connectés.

Ces volumes montrent pourquoi les infrastructures numériques sont devenues un sujet économique autant que technique. Notre article sur l’amende de plus de 500 millions d’euros infligée à Google à Bruxelles illustre, dans un autre registre, le poids désormais stratégique des grandes plateformes.

Le 19 mars 2026, le ministère américain de la Justice a annoncé une opération coordonnée contre les infrastructures de commande et contrôle de KimWolf, Aisuru, JackSkid et Mossad.

Au total, les quatre botnets avaient compromis plus de trois millions d’appareils selon les autorités américaines. Ils étaient utilisés dans un modèle de cybercriminalité à la demande : les opérateurs vendaient l’accès aux machines infectées ou la capacité de lancer des attaques DDoS.

Le mot « démantelé » doit néanmoins être utilisé avec prudence. Une infrastructure de commande peut être saisie ou perturbée sans que toutes les machines infectées soient immédiatement nettoyées. Les équipements compromis restent parfois vulnérables à d’autres malwares ou à de nouveaux botnets.

Le DOJ explique d’ailleurs que l’objectif était de limiter ou éliminer la capacité de ces botnets à lancer de nouvelles attaques et d’empêcher de nouvelles infections, pas de réparer automatiquement chaque appareil affecté.

Cette nuance vaut pour beaucoup d’incidents numériques : une action de police réduit la capacité opérationnelle d’un groupe sans supprimer tous les risques. Sur les usages de données et de profilage, notre article sur l’IA qui déduit un profil à partir des publicités vues montre aussi pourquoi le risque persiste souvent au-delà d’un seul acteur.

Le 21 mai 2026, le ministère américain de la Justice a annoncé l’arrestation au Canada de Jacob Butler, alias « Dort », 23 ans, résident d’Ottawa.

Les autorités américaines l’avaient inculpé le 10 avril pour des infractions liées au développement et à l’exploitation de KimWolf. La plainte est restée sous scellés jusqu’à son arrestation, effectuée au Canada dans le cadre d’un mandat d’extradition.

Il est essentiel de conserver la formulation juridique correcte : Butler est accusé, pas condamné. Le communiqué du DOJ rappelle explicitement qu’une plainte pénale n’est qu’une allégation et que tout prévenu est présumé innocent tant que sa culpabilité n’a pas été établie au-delà du doute raisonnable.

En parallèle de son arrestation, les autorités ont ciblé 45 plateformes DDoS-for-hire. Au moins l’une d’entre elles aurait collaboré avec KimWolf selon le DOJ.

Ce type de coopération internationale devient courant dans les affaires cyber. Notre article sur les messageries européennes sécurisées rappelle, côté utilisateur, que les services de communication sont désormais au cœur des enjeux de sécurité et de traçabilité.

Le fichier initial mettait en avant les routeurs Wi-Fi et caméras IP. Ces catégories sont bien concernées dans l’univers des botnets IoT, mais les recherches disponibles montrent que KimWolf a particulièrement touché des appareils Android bon marché.

Le problème était souvent double : certains équipements disposaient d’un service ADB accessible sans authentification, tandis que des SDK de proxy résidentiel fournissaient le chemin permettant d’atteindre ce service depuis l’extérieur.

Dans certains cas, les chercheurs ont acheté eux-mêmes des appareils et constaté qu’ils embarquaient déjà des composants de proxy au moment de l’achat. Cela signifie que le risque peut exister avant même que l’utilisateur installe volontairement un logiciel suspect.

Les environnements professionnels n’étaient pas épargnés. Infoblox a observé des requêtes vers des domaines KimWolf dans des réseaux d’entreprises et d’institutions, montrant que les appareils de type IoT ou les logiciels de proxy peuvent servir de point d’entrée à l’intérieur d’un réseau.

La première mesure consiste à privilégier des équipements de marques connues offrant un historique clair de mises à jour. Le prix très bas d’un boîtier Android ou d’un appareil IoT peut masquer l’absence totale de support logiciel.

Maintenez les firmwares à jour. Une mise à jour ne protège pas contre toutes les attaques, mais elle ferme les vulnérabilités déjà identifiées et réduit le nombre de chemins exploitables.

Pour les appareils IoT, utilisez si possible un réseau Wi-Fi invité ou un VLAN séparé. Cette segmentation empêche qu’un boîtier compromis accède directement aux ordinateurs, NAS ou autres ressources importantes du réseau principal.

Dans une entreprise, la surveillance DNS et réseau peut révéler des communications avec des domaines de commande et contrôle connus. Les solutions de filtrage doivent être complétées par un inventaire précis des équipements connectés.

Pour les utilisateurs Android, notre article sur les applications retirées du Play Store complète cette approche : maintenance, provenance et mises à jour sont des critères de sécurité aussi importants que les fonctionnalités.

Et pour ceux qui souhaitent réduire leur dépendance à certains grands services, notre article sur DuckDuckGo après Google I/O 2026 montre que le choix des fournisseurs fait désormais partie de la stratégie numérique.

Le botnet a subi un coup important : infrastructure saisie, opérateur présumé arrêté et voie de propagation par certains réseaux de proxies corrigée. Mais cela ne signifie pas que la famille de menaces a disparu.

KimWolf s’inscrit dans une évolution plus large des botnets IoT. Dès que des millions d’appareils identiques utilisent des mots de passe faibles, des services exposés ou des logiciels non maintenus, un nouvel acteur peut tenter de reconstituer un réseau comparable.

Le problème structurel reste donc le même : des équipements bon marché, parfois préconfigurés avec des composants opaques, sont connectés à des réseaux domestiques ou professionnels sans contrôle régulier.

Pour l’utilisateur, la conclusion est moins spectaculaire mais plus utile : vérifier ses équipements, supprimer ceux qui ne sont plus maintenus, isoler les appareils IoT et éviter les matériels inconnus reste plus efficace que d’attendre le prochain nom de botnet.

Cette logique de continuité s’observe aussi dans les télécoms : notre article sur la disparition de SFR et les conséquences possibles pour les abonnés montre pourquoi un changement d’acteur ne fait jamais disparaître instantanément toutes les dépendances techniques.