Bigpanzi Botnet

Μια άγνωστη στο παρελθόν εγκληματική οργάνωση στον κυβερνοχώρο, που ονομάστηκε «Bigpanzi», αποφέρει σημαντικά κέρδη θέτοντας σε κίνδυνο τους αποκωδικοποιητές Android TV και eCos παγκοσμίως από το 2015 τουλάχιστον. Σύμφωνα με ερευνητές, αυτή η ομάδα απειλών διαχειρίζεται ένα εκτεταμένο botnet που περιλαμβάνει περίπου 170.000 καθημερινά ενεργά bots. Συγκεκριμένα, από τον Αύγουστο, οι ερευνητές έχουν εντοπίσει 1,3 εκατομμύρια μοναδικές διευθύνσεις IP που συνδέονται με το botnet, με την πλειοψηφία να βρίσκεται στη Βραζιλία. Το Bigpanzi χρησιμοποιεί μεθόδους όπως η μόλυνση συσκευών μέσω ενημερώσεων υλικολογισμικού ή η χειραγώγηση των χρηστών ώστε να εγκαταστήσουν παραβιασμένες εφαρμογές εν αγνοία τους.

Αυτές οι μολύνσεις χρησιμεύουν ως πηγή εσόδων για τους εγκληματίες του κυβερνοχώρου που μετατρέπουν τις παραβιασμένες συσκευές σε κόμβους για διάφορες παράνομες δραστηριότητες, συμπεριλαμβανομένων παράνομων πλατφορμών ροής μέσων, δικτύων διαμεσολάβησης κίνησης, σμήνων κατανεμημένης άρνησης υπηρεσίας (DDoS) και παροχής περιεχομένου Over-The-Top (OTT). .

Η λειτουργία Bigpanzi Botnet αναπτύσσει πρόσθετες απειλές κακόβουλου λογισμικού

Η επιχείρηση εγκλήματος στον κυβερνοχώρο που διεξάγεται από την Bigpanzi χρησιμοποιεί δύο προσαρμοσμένα εργαλεία κακόβουλου λογισμικού γνωστά ως «pandoraspear» και «pcdn».

Το Pandoraspear λειτουργεί ως Trojan backdoor, κατακτά τον έλεγχο των ρυθμίσεων DNS, δημιουργεί επικοινωνία με έναν διακομιστή Command and Control (C2) και εκτελεί εντολές που λαμβάνονται από τον διακομιστή C2. Το κακόβουλο λογισμικό υποστηρίζει μια σειρά εντολών, επιτρέποντάς του να χειρίζεται τις ρυθμίσεις DNS, να ξεκινά επιθέσεις DDoS, να ενημερώνεται αυτόματα, να δημιουργεί αντίστροφα κελύφη, να διαχειρίζεται την επικοινωνία με το C2 και να εκτελεί αυθαίρετες εντολές λειτουργικού συστήματος. Για να αποφύγει τον εντοπισμό, το Pandoraspear χρησιμοποιεί εξελιγμένες τεχνικές, όπως τροποποιημένο κέλυφος UPX, δυναμική σύνδεση, μεταγλώττιση OLLVM και μηχανισμούς κατά του εντοπισμού σφαλμάτων.

Το PCdn, από την άλλη πλευρά, χρησιμοποιείται για την κατασκευή ενός Δικτύου Διανομής Περιεχομένου Peer-to-Peer (P2P) (P2P) σε μολυσμένες συσκευές και διαθέτει δυνατότητες DDoS για περαιτέρω οπλισμό αυτών των συσκευών.

Το Bigpanzi Botnet έχει παγκόσμια εμβέλεια

Σε περιόδους αιχμής, το botnet Bigpanzi μπορεί να υπερηφανεύεται για 170.000 καθημερινά bot και από τον Αύγουστο του 2023, οι ερευνητές έχουν εντοπίσει πάνω από 1,3 εκατομμύρια διακριτές IP που σχετίζονται με το botnet. Ωστόσο, λόγω της διαλείπουσας δραστηριότητας των παραβιασμένων τηλεοπτικών κουτιών και των περιορισμών στην ορατότητα των αναλυτών στον κυβερνοχώρο, είναι πολύ πιθανό το πραγματικό μέγεθος του botnet να ξεπερνά αυτούς τους αριθμούς. Τα τελευταία οκτώ χρόνια, η Bigpanzi φαίνεται να λειτουργούσε κρυφά, συσσωρεύοντας πλούτο διακριτικά. Καθώς οι λειτουργίες τους προχώρησαν, υπήρξε αξιοσημείωτος πολλαπλασιασμός δειγμάτων, ονομάτων τομέα και διευθύνσεων IP.

Οι ερευνητές προτείνουν ότι δεδομένης της τεράστιας και πολυπλοκότητας του δικτύου, τα ευρήματά τους απλώς χαράζουν την επιφάνεια αυτού που πραγματικά συνεπάγεται το Bigpanzi. Μέχρι στιγμής, οι ειδικοί στην ασφάλεια πληροφοριών δεν έχουν αποκαλύψει λεπτομέρειες σχετικά με την απόδοση της λειτουργίας botnet. Ωστόσο, μια ανάλυση της απειλής pcdn τους οδήγησε σε ένα ύποπτο κανάλι στο YouTube που πιστεύεται ότι βρίσκεται υπό τον έλεγχο μιας συγκεκριμένης εταιρείας.

Φορείς μόλυνσης που εκμεταλλεύονται οι ηθοποιοί απειλών πίσω από τον Bigpanzi

Η ομάδα κυβερνοεγκληματικών εστιάζει στις πλατφόρμες Android και eCos, χρησιμοποιώντας τρεις διαφορετικές μεθόδους για να μολύνει τις συσκευές των χρηστών:

• Πειρατικές εφαρμογές ταινιών και τηλεόρασης (Android) : Η Bigpanzi αξιοποιεί πειρατικές εφαρμογές που σχετίζονται με ταινίες και τηλεοπτικές εκπομπές σε συσκευές Android. Οι χρήστες κατεβάζουν και εγκαθιστούν εν αγνοία τους αυτές τις απειλητικές εφαρμογές, παρέχοντας ένα σημείο εισόδου στο botnet για να παραβιάσει τις συσκευές.
• Backdoored γενικό υλικολογισμικό OTA (Android) : Μια άλλη μέθοδος περιλαμβάνει τον χειρισμό ενημερώσεων υλικολογισμικού over-the-air (OTA) σε συσκευές Android. Οι εγκληματίες του κυβερνοχώρου εισάγουν backdoors σε αυτές τις ενημερώσεις, επιτρέποντάς τους να εκμεταλλευτούν ευπάθειες κατά τη διαδικασία εγκατάστασης και να αποκτήσουν μη εξουσιοδοτημένη πρόσβαση στις συσκευές.
• Υπολογισμικό Backdoored 'SmartUpTool' (eCos) : Για συσκευές που λειτουργούν στην πλατφόρμα eCos, το Bigpanzi στοχεύει ένα συγκεκριμένο υλικολογισμικό που ονομάζεται 'SmartUpTool'. Οι εγκληματίες του κυβερνοχώρου υπονομεύουν αυτό το υλικολογισμικό εισάγοντας backdoors, δίνοντάς τους τη δυνατότητα να διεισδύουν και να ελέγχουν συσκευές που τροφοδοτούνται από eCos.

Χρησιμοποιώντας αυτές τις τρεις μεθόδους, το Bigpanzi διασφαλίζει ένα ευρύ φάσμα φορέων επίθεσης, εκμεταλλευόμενοι ανυποψίαστους χρήστες που ασχολούνται με πειρατικό περιεχόμενο ή ενημερώνουν τις συσκευές τους μέσω παραβιασμένου υλικολογισμικού.