Nieuws & Tips
Van Aisuru tot Kimwolf v7: de evolutie van een dreiging die uw website/webshop kan platleggen
“Wij zijn toch te klein voor hackers?”
Twintig jaar lang hoor ik die zin, in bijna elk kennismakingsgesprek met een ondernemer, een ZZP’er of een webshopeigenaar. Twintig jaar lang zie ik ook hetzelfde patroon terugkomen: pas ná het incident realiseert iemand zich dat “te klein om interessant te zijn” een mythe is. Cybercriminelen zijn tegenwoordig niet meer op zoek naar úw data alleen. Ze zijn op zoek naar úw rekenkracht, úw internetverbinding en úw netwerk als opstapje naar iets groters.
Dat is precies waarom ik dit artikel schrijf. Sinds eind 2024 zie ik in mijn eigen praktijk, en in de bredere sector, een dreiging opduiken die weinig MKB’ers op de radar hebben: het Kimwolf-botnet, ook bekend onder de naam Aisuru. Wat begon als een netwerk van gekaapte Linux-apparaten, groeide uit tot een van de grootste botnets ooit gemeten, met pieken van bijna 30 terabit per seconde aan aanvalsverkeer. Recent dook er zelfs een nieuwe, geraffineerdere versie op — Kimwolf v7 — die laat zien dat dit probleem niet verdwijnt, maar juist volwassener wordt. En de plek waar dit allemaal begint, staat mogelijk gewoon in uw woonkamer of op uw bedrijfsnetwerk: een goedkope Android TV-box.
Kerndeel 1 — Hoe Kimwolf uw netwerk binnendringt
Kimwolf is geen klassieke virus dat u per ongeluk downloadt. Het is een botnet: een leger van gekaapte apparaten dat op afstand wordt aangestuurd om gezamenlijk aanvallen uit te voeren, meestal DDoS-aanvallen die websites en servers platleggen door ze te overspoelen met verkeer. Het bijzondere aan Kimwolf is de manier waarop het zich verspreidt, en die manier is verrassend slim.
De makers huren toegang tot zogeheten residential proxy-diensten: netwerken van consumentenapparaten die, vaak zonder medeweten van de eigenaar, hun internetverbinding doorverkopen. Veel goedkope Android TV-boxen die uit Azië worden geïmporteerd, bevatten niet-officiële apps vol proxy-software én hebben standaard de Android Debug Bridge (ADB) ingeschakeld op poort 5555 — een technische achterdeur die eigenlijk bedoeld is voor ontwikkelaars, niet voor thuisgebruik. Zodra Kimwolf via zo’n proxy-verbinding een voet tussen de deur heeft, tunnelt het door naar die openstaande ADB-poort en installeert het zichzelf, zonder dat er ooit een wachtwoord wordt gevraagd.
Vanaf dat moment is het apparaat niet langer “gewoon een tv-boxje”. Het wordt een instapluik naar het volledige thuis- of bedrijfsnetwerk waarop het is aangesloten. Voor een particulier betekent dit dat de eigen router, camera’s en andere smart devices ineens bereikbaar zijn voor derden. Voor een ondernemer die zo’n boxje op hetzelfde netwerk heeft hangen als de kassa, de boekhoudsoftware of de webshopserver, is het risico nog veel directer: één kwetsbaar apparaat kan de ingang worden tot bedrijfskritische systemen. Onderzoekers schatten dat inmiddels miljoenen apparaten wereldwijd op deze manier zijn overgenomen, en dat negen op de tien kwetsbare ADB-diensten nog altijd op de standaardpoort openstaan.
Kerndeel 2 — Het kat-en-muisspel: takedowns versus Kimwolf v7
In maart 2026 sloeg de Amerikaanse justitie, samen met internationale partners, een grote slag: de command-and-control-infrastructuur van Kimwolf, Aisuru en verwante botnets werd in beslag genomen en een vermeende beheerder — een 23-jarige man uit Canada — werd gearresteerd en uitgeleverd. Voor even leek het probleem onder controle.
Maar wie twintig jaar in deze sector meedraait, weet: een takedown is zelden het einde van het verhaal. Binnen vier maanden na de actie was de infrastructuur van Aisuru alweer meer dan verdubbeld ten opzichte van de situatie vóór de inval, en het aandeel van Aisuru in al het wereldwijde DDoS-verkeer groeide naar ongeveer een derde. De blauwdruk van Kimwolf werd bovendien overgenomen door tientallen concurrerende botnets, die nu vechten om dezelfde vijver vol kwetsbare apparaten. Het aantal dagelijks actieve, kwaadaardige eindpunten steeg van ongeveer 1 miljoen naar 8 à 9 miljoen binnen een jaar tijd.
Tegelijk verscheen er begin 2026 een technisch veel geavanceerdere opvolger: Kimwolf v7. Beveiligingsonderzoekers van Palo Alto Networks ontdekten dat deze versie speciaal is gebouwd om toekomstige takedowns te overleven. In plaats van ruwe dataverkeerspieken te versturen, bootst Kimwolf v7 nu volledige browser-vingerafdrukken van Chrome na tijdens een nieuwe HTTP/2-aanvalsmethode, waardoor kwaadaardig verkeer nauwelijks meer te onderscheiden is van een gewone bezoeker. Daarnaast haalt de malware zijn instructies niet langer op via een gewoon domein dat autoriteiten in beslag kunnen nemen, maar via de Ethereum Name Service — een systeem dat draait op de blockchain, waar geen bedrijf of registrar is om een gerechtelijk bevel aan te sturen. Faalt dat, dan valt het botnet automatisch terug op een verborgen Tor-adres. Het resultaat: een netwerk dat vrijwel geen vast aanspreekpunt meer heeft om uit te schakelen.
Kerndeel 3 — Wat dit concreet betekent voor uw webshop
Voor een WooCommerce-eigenaar of MKB’er is dit geen ver-van-mijn-bedshow. De gevolgen van een besmetting of een gerichte DDoS-aanval zijn heel tastbaar:
- Downtime van uw website/webshop. Een aanval die uw hostingomgeving overspoelt, betekent dat klanten niet meer kunnen bestellen — met direct omzetverlies tot gevolg, precies op het moment dat het u het minst uitkomt.
- Reputatieschade. Klanten die tegen een onbereikbare of trage site aanlopen, keren niet altijd terug. Vertrouwen bouw je in jaren op en verlies je in uren.
- Datalekken. Een gecompromitteerd apparaat op uw netwerk kan ook dienen als opstap naar klantgegevens, betaalinformatie of bedrijfsadministratie — met alle meldplichten en aansprakelijkheden van dien.
- IP-blacklisting. Wordt uw eigen internetverbinding of server onbewust gebruikt om verkeer door te sluizen of aanvallen uit te voeren, dan kan uw IP-adres op zwarte lijsten belanden. Dat kan e-mails laten worden geweigerd of uw domein laten afwaarderen door zoekmachines en beveiligingsfilters.
Praktische stappen die u vandaag al kunt zetten
- Segmenteer uw netwerk. Zet slimme apparaten, tv-boxen en IoT-devices op een apart (gast-)VLAN, gescheiden van de systemen waarop uw webshop, kassa of boekhouding draait. Eén besmet apparaat mag nooit rechtstreeks bij uw bedrijfskritische data kunnen komen.
- Sluit onnodige poorten. Controleer of ADB (poort 5555) of vergelijkbare beheerdiensten op uw netwerkapparatuur openstaan, en schakel deze uit of beperk ze tot een fysieke USB-verbinding.
- Breng uw hardware in kaart. Weet welke apparaten er op uw netwerk hangen — inclusief die goedkope tv-box in de vergaderruimte — en vervang verouderde of niet meer ondersteunde apparatuur die geen beveiligingsupdates meer krijgt.
- Beveilig uw webshop-omgeving specifiek. Zorg voor actuele WordPress- en WooCommerce-updates, een goed geconfigureerde firewall en, waar mogelijk, DDoS-bescherming op hostingniveau.
Wacht niet tot u het volgende slachtoffer bent
Na twintig jaar in de beveiligingssector kan ik u één ding met zekerheid vertellen: de dreiging van botnets zoals Kimwolf verdwijnt niet door er even niet aan te denken. Zolang fabrikanten kwetsbare apparaten blijven produceren en gebruikers ze aangesloten laten, blijft dit een terugkerend probleem — ook voor uw netwerk.
Wilt u weten of uw netwerk, kwetsbare apparaten of open poorten bevat? Neem contact met mij op voor een IT-veiligheidscheck, een grondige opschoning of een volledige beveiligingsaudit, op maat voor MKB’ers, ZZP’ers en webshopeigenaren. Liever vandaag geïnvesteerd in een check dan morgen geconfronteerd met downtime, dataverlies of een geblokkeerd domein.
Bronnen:
