'Bigpanzi' adlı daha önce bilinmeyen bir siber suç sendikası, en az 2015 yılından bu yana dünya çapında Android TV ve ECOS set üstü kutuları enfekte ederek önemli para kazanıyor.
Pekin merkezli Qianxin XLabs, tehdit grubunun yaklaşık 170.000 günlük aktif bottan oluşan büyük ölçekli bir botnet kontrol ettiğini bildiriyor. Ancak araştırmacılar, Ağustos ayından bu yana BotNet ile ilişkili 1,3 milyon benzersiz IP adresi gördüler, çoğu Brezilya'da.
BigPanzi, Dr. Web tarafından Eylül 2023 raporunda vurgulandığı gibi, kullanıcıların kendilerini yüklemek için kandırıldığı ürün yazılımı güncellemeleri veya backdoured uygulamaları aracılığıyla cihazlara bulaşır.
Siber suçlular, cihazları yasadışı medya akış platformları, trafik proxy ağları, dağıtılmış hizmet reddi (DDOS) sürüleri ve OTT içerik sunumu için düğümlere dönüştürerek bu enfeksiyonlardan para kazanır.
XLabs 'raporu, BigPanzi tarafından operasyonlarında kullanılan iki kötü amaçlı yazılım aracı olan' Pandoraspear 've' PCDN 'üzerine odaklanmaktadır.
Pandoraspear bir arka kapı truva atı, DNS ayarlarını kaçırma, komut ve kontrol (C2) iletişimini oluşturma ve C2 sunucusundan alınan komutları yürütme görevi görür.
Kötü amaçlı yazılım, DNS ayarlarını manipüle etmesine, DDOS saldırılarını başlatmasına, kendini güncellemesine, ters kabuklar oluşturmasına, C2 ile iletişimini yönetmesine ve keyfi işletim sistemi komutlarını yürütmesine izin veren çeşitli komutları destekler.
Pandoraspear, modifiye edilmiş UPX kabuğu, dinamik bağlantı, OLLVM derlemesi ve tespitten kaçınmak için anti-kötüleşme mekanizmaları gibi sofistike teknikler kullanır.
PCDN, enfekte olmuş cihazlarda bir eşler arası (P2P) içerik dağıtım ağı (CDN) oluşturmak için kullanılır ve cihazları silahlandırmak için DDOS özelliklerine sahiptir.
XLabs, saldırganlar tarafından kullanılan iki C2 alanını kaçırdıktan ve yedi günlük bir gözlem yaptıktan sonra Botnet'in ölçeğine ilişkin fikir kazandı.
Analistler, Bigpanzi Botnet'in zirve zamanlarında günlük 170.000 bota sahip olduğunu ve Ağustos ayından bu yana 1,3 milyondan fazla IP'yi gözlemlediğini bildiriyor.
Bununla birlikte, tehlikeye atılan TV kutularının her zaman aynı anda aktif olmaması ve siber güvenlik analistlerinin görünürlük sınırlamaları nedeniyle, Botnet'in boyutunun daha büyük olması kaçınılmaz olarak kabul edilmektedir.
XLabs raporunu, "Son sekiz yılda, Bigpanzi gizli bir şekilde çalışıyor, serveti gölgelerden sessizce biriktiriyor."
"Operasyonlarının ilerlemesi ile örneklerin, alan adlarının ve IP adreslerinin önemli bir çoğalması olmuştur."
"Bu kadar büyük ve karmaşık bir ağ karşısında, bulgularımız Bigpanzi'nin kapsadığı şey açısından buzdağının sadece ucunu temsil ediyor."
Analiz edilen PCDN örneğindeki eserler, Çinli araştırmacıları bir şirket tarafından kontrol edilen şüpheli bir YouTube kanalına yönlendirmiştir.
Ancak, XLabs raporu henüz herhangi bir atıf detayı açıklamamıştır ve muhtemelen geçerli kolluk kuvvetleri için bunları ayırmıştır.
GÜNCELLEME 1/19 - Bir Google sözcüsü, yukarıdakilerle ilgili aşağıdaki yorumu BleepingComputer'a gönderdi:
Enfekte olduğu bulunan bu cihazların Android Açık Kaynak Projesi (AOSP) cihazları olduğu görülmektedir, bu da herkesin kodu indirip değiştirebileceği anlamına gelir.
Android TV, akıllı TV'ler ve akış cihazları için Google'ın işletim sistemidir. Tescillidir, yani yalnızca Google ve lisanslı ortaklarının kodu değiştirebileceği anlamına gelir.
Bir cihaz Play Protect Sertifikalı değilse, Google'ın güvenlik ve uyumluluk testi sonuçlarının kaydı yoktur. Play Protect Sertifikalı Android Cihazları, kalite ve kullanıcı güvenliğini sağlamak için kapsamlı testlere tabi tutulur.
FBI: AndroxgH0ST kötü amaçlı yazılım botnet AWS, Microsoft kimlik bilgileri çalıyor
Google Play'e 330K kez yüklü yeni Xamalicious Android kötü amaçlı yazılım
QNAP VIOSTOR NVR Güvenlik Açığı Aktif olarak Malware Botnet tarafından sömürüldü
2023'te on yeni Android Bankacılık Truva atı 985 banka uygulamasını hedef aldı
Google Play'de Spyloan Android Kötü Yazılım 12 milyon kez indirildi
Kaynak: Bleeping Computer