Yeni bir Mirai kötü amaçlı yazılım botnet varyantı, medya akışı için milyonlarca tarafından kullanılan ucuz Android TV set üstü kutuları bulaştı.
Dr. Web'in Antivirus ekibine göre, mevcut Truva atı, ilk olarak 2015'te ortaya çıkan 'Pandora' arka kapısının yeni bir versiyonudur.
Bu kampanyanın birincil hedefleri, küçük sürü boyutlarında bile güçlü DDOS saldırıları başlatabilen dört çekirdekli işlemcilere sahip olan Tanix TX6 TV kutusu, MX10 Pro 6K ve H96 Max X3 gibi düşük maliyetli Android TV kutularıdır.
Dr. Web, kötü amaçlı yazılımların, kamuya açık test anahtarlarıyla imzalanan veya korsan içerikle ilgilenen kullanıcıları hedefleyen alan adlarında kötü amaçlı uygulamalar aracılığıyla dağıtılan kötü amaçlı bir ürün yazılımı güncellemesi aracılığıyla cihazlara geldiğini bildirir.
İlk durumda, bu ürün yazılımı güncellemeleri ya cihazların satıcıları tarafından yüklenir veya kullanıcılar bunları sınırsız medya akışı vaat eden veya daha geniş bir uygulama yelpazesi ile daha iyi uyumluluk vaat eden web sitelerinden indirmek için kandırılır.
Kötü amaçlı hizmet, Android sistem önyükleme sırasında yüklenen çekirdek ve ramdisk bileşenlerini içeren 'boot.img' dedir, bu nedenle mükemmel bir kalıcılık mekanizmasıdır.
İkinci dağıtım kanalı, telif hakkı korumalı TV şovları ve film koleksiyonlarına ücretsiz veya düşük bir ücret karşılığında erişim vaat eden korsan içerik uygulamalarıdır.
Dr. Web, bu yeni Mirai kötü amaçlı yazılım varyantıyla enfekte olan Android uygulamalarına örnekler verir.
Bu durumda, kullanıcının bilgisi olmadan arka planda 'Gomediaservice'i başlatan ve cihaz önyüklemesinde otomatik olarak başlatılacak olan kötü amaçlı uygulamaların ilk lansmanı sırasında kalıcılık elde edilir.
Bu hizmet, yükseltilmiş ayrıcalıklarla çalışan bir komut satırı tercümanı ('tool.appprocessshell.1') ve Pandora Backdoor ('.tmp.sh' için bir yükleyici de dahil olmak üzere birden fazla dosyayı açan 'Gomediad.so' programını çağırıyor. ).
Etkin olduktan sonra, arka kapı C2 sunucusu ile iletişim kurar, ana bilgisayarlar dosyasını değiştirir, kendisini günceller ve daha sonra operatörlerinden gelen komutları bekleyen bekleme moduna girer.
Dr. Web, kötü amaçlı yazılımların TCP ve UDP protokolleri üzerinde SYN, ICMP ve DNS taşkın istekleri üretilmesi gibi DDOS saldırıları gerçekleştirebileceğini, ayrıca bir ters kabuk açabileceğini, modifikasyon için sistem bölümleri ve daha fazlasını bildirdiğini bildiriyor.
Bütçe dostu Android TV kutuları genellikle üreticiden tüketiciye karanlık bir yolculuğa sahiptir ve son kullanıcıyı kökenleri, potansiyel ürün yazılımı değişiklikleri ve geçtikleri çeşitli eller hakkında karanlıkta bırakır.
Orijinal ROM'u koruyan ve uygulama kurulumları konusunda seçici olan temkinli tüketiciler için bile, önceden yüklenmiş kötü amaçlı yazılımlarla gelen cihazların kalıcı bir riski vardır.
Bununla birlikte, Google Chromecast, Apple TV, Nvidia Shield, Amazon Fire TV ve Roku Stick gibi güvenilir markalardan akış cihazlarını tercih etmeyi tavsiye edecektir.
FBI enfekte Windows PC'lerden Qakbot kötü amaçlı yazılımları nasıl nükleerleştirdi?
Gru bilgisayar korsanları Ukrayna ordusuna yeni Android kötü amaçlı yazılımlarla saldırır
Google Play'de Truva Sinyali ve Telgraf Uygulamaları Teslim Edildi Casus Yazılım
Qakbot Botnet 700.000'den fazla bilgisayarı bulaştıktan sonra söküldü
Dreambus kötü amaçlı yazılım, sunucuları enfekte etmek için rocketmq kusurundan yararlanır
Kaynak: Bleeping Computer