Bigpanzi Botnet

이전에 확인되지 않은 사이버 범죄 조직인 'Bigpanzi'는 최소 2015년부터 전 세계적으로 Android TV 및 eCos 셋톱 박스를 손상시켜 상당한 이익을 창출해 왔습니다. 연구원에 따르면 이 위협 그룹은 매일 약 170,000개의 활성 봇으로 구성된 광범위한 봇넷을 관리하고 있습니다. 특히, 8월 이후 연구원들은 봇넷에 연결된 130만 개의 고유 IP 주소를 식별했으며, 그 중 대부분은 브라질에 있습니다. Bigpanzi는 펌웨어 업데이트를 통해 장치를 감염시키거나 사용자가 자신도 모르게 손상된 앱을 설치하도록 조작하는 등의 방법을 사용합니다.

이러한 감염은 손상된 장치를 불법 미디어 스트리밍 플랫폼, 트래픽 프록시 네트워크, DDoS(분산 서비스 거부) 떼, OTT(Over-The-Top) 콘텐츠 제공 등 다양한 불법 활동을 위한 노드로 변환하는 사이버 범죄자의 수익원 역할을 합니다. .

Bigpanzi 봇넷 작업으로 추가 악성 코드 위협 배포

Bigpanzi가 수행하는 사이버 범죄 작전은 'pandoraspear'와 'pcdn'이라는 두 가지 맞춤형 악성 코드 도구를 사용합니다.

Pandoraspear는 백도어 트로이 목마로 작동하여 DNS 설정 제어권을 장악하고 명령 및 제어(C2) 서버와 통신을 설정하며 C2 서버에서 받은 명령을 실행합니다. 이 악성코드는 DNS 설정 조작, DDoS 공격 시작, 자체 업데이트, 리버스 셸 생성, C2와의 통신 관리, 임의 OS 명령 실행 등 다양한 명령을 지원합니다. 탐지를 회피하기 위해 Pandoraspear는 수정된 UPX 셸, 동적 연결, OLLVM 컴파일 및 디버깅 방지 메커니즘과 같은 정교한 기술을 사용합니다.

반면 Pcdn은 감염된 장치에 P2P(Peer-to-Peer) 콘텐츠 배포 네트워크(CDN)를 구축하는 데 사용되며 이러한 장치를 더욱 무기화하는 DDoS 기능을 보유하고 있습니다.

Bigpanzi 봇넷은 전 세계적으로 영향력을 행사하고 있습니다.

피크 시간 동안 Bigpanzi 봇넷은 매일 170,000개의 봇을 자랑하며, 2023년 8월부터 연구원들은 봇넷과 관련된 130만 개가 넘는 고유 IP를 식별했습니다. 그러나 손상된 TV 박스의 간헐적인 활동과 사이버 보안 분석가의 가시성 제한으로 인해 봇넷의 실제 규모가 이 수치를 초과할 가능성이 매우 높습니다. 지난 8년간 빅판지는 은밀하게 운영하며 은밀하게 부를 축적해 온 것으로 보인다. 운영이 발전하면서 샘플, 도메인 이름, IP 주소가 눈에 띄게 늘어났습니다.

연구원들은 네트워크의 거대함과 복잡성을 고려할 때 그들의 발견은 Bigpanzi가 실제로 수반하는 것의 표면만을 긁는 것일 뿐이라고 제안합니다. 현재까지 정보보안 전문가들은 봇넷 활동의 속성에 대해 어떠한 세부사항도 공개하지 않았습니다. 그러나 pcdn 위협에 대한 분석 결과 특정 회사가 통제하고 있는 것으로 추정되는 의심스러운 YouTube 채널로 연결되었습니다.

Bigpanzi 배후의 위협 행위자가 악용하는 감염 벡터

사이버 범죄 그룹은 Android 및 eCos 플랫폼에 중점을 두고 있으며, 사용자 장치를 감염시키기 위해 세 가지 고유한 방법을 활용합니다.

• 불법 복제된 영화 및 TV 앱(Android) : Bigpanzi는 Android 기기에서 영화 및 TV 프로그램과 관련된 불법 복제된 애플리케이션을 활용합니다. 사용자는 이러한 위협적인 애플리케이션을 무의식적으로 다운로드하고 설치하여 봇넷이 장치를 손상시킬 수 있는 진입점을 제공합니다.
• 백도어 일반 OTA 펌웨어(Android) : 또 다른 방법은 Android 장치에서 OTA(무선) 펌웨어 업데이트를 조작하는 것입니다. 사이버 범죄자는 이러한 업데이트에 백도어를 도입하여 설치 과정에서 취약점을 악용하고 장치에 대한 무단 액세스를 얻을 수 있습니다.
• 백도어된 'SmartUpTool' 펌웨어(eCos) : eCos 플랫폼에서 작동하는 장치의 경우 Bigpanzi는 'SmartUpTool'이라는 특정 펌웨어를 대상으로 합니다. 사이버 범죄자는 eCos가 제공하는 장치에 침투하고 제어할 수 있도록 백도어를 도입하여 이 펌웨어를 손상시킵니다.

Bigpanzi는 이 세 가지 방법을 사용하여 불법 복제된 콘텐츠에 참여하거나 손상된 펌웨어를 통해 장치를 업데이트하는 의심하지 않는 사용자를 악용하여 다양한 범위의 공격 벡터를 보장합니다.