Bigpanzi Botnet

Një organizatë kriminale kibernetike e paidentifikuar më parë, e quajtur 'Bigpanzi', ka gjeneruar fitime të konsiderueshme duke kompromentuar Android TV dhe eCos set-top boxes në nivel global që të paktën që nga viti 2015. Sipas studiuesve, ky grup kërcënimi menaxhon një botnet të gjerë që përfshin rreth 170,000 bots aktivë në ditë. Veçanërisht, që nga gushti, studiuesit kanë identifikuar 1.3 milion adresa IP unike të lidhura me botnet, me një shumicë të vendosur në Brazil. Bigpanzi përdor metoda të tilla si infektimi i pajisjeve përmes përditësimeve të firmuerit ose manipulimi i përdoruesve për të instaluar aplikacione të komprometuara pa e ditur.

Këto infeksione shërbejnë si një burim të ardhurash për kriminelët kibernetikë që transformojnë pajisjet e komprometuara në nyje për aktivitete të ndryshme të paligjshme, duke përfshirë platformat e paligjshme të transmetimit të mediave, rrjetet e proksimit të trafikut, grupet e Mohimit të Shpërndara të Shërbimit (DDoS) dhe ofrimin e përmbajtjes mbi të lartë (OTT). .

Operacioni Bigpanzi Botnet vendos kërcënime shtesë malware

Operacioni i krimit kibernetik i kryer nga Bigpanzi përdor dy mjete të personalizuara malware të njohura si 'pandoraspear' dhe 'pcdn'.

Pandoraspear funksionon si një Trojan Backdoor, duke marrë kontrollin e cilësimeve DNS, duke vendosur komunikim me një server Command and Control (C2) dhe duke ekzekutuar komandat e marra nga serveri C2. Malware mbështet një sërë komandash, duke i mundësuar atij të manipulojë cilësimet DNS, të inicojë sulme DDoS, të vetë-përditësohet, të krijojë predha të kundërta, të menaxhojë komunikimin me C2 dhe të ekzekutojë komanda arbitrare të OS. Për të shmangur zbulimin, Pandoraspear përdor teknika të sofistikuara, të tilla si një guaskë e modifikuar UPX, lidhje dinamike, përpilim OLLVM dhe mekanizma kundër korrigjimit.

PCdn, nga ana tjetër, përdoret për të ndërtuar një Rrjet të Shpërndarjes së Përmbajtjes Peer-to-Peer (P2P) (CDN) në pajisjet e infektuara dhe posedon aftësi DDoS për t'i armatosur më tej këto pajisje.

Botneti Bigpanzi ka shtrirje globale

Gjatë periudhave të pikut, botnet-i Bigpanzi krenohet me 170,000 bot në ditë, dhe që nga gushti i vitit 2023, studiuesit kanë identifikuar mbi 1.3 milion IP të dallueshme të lidhura me botnet. Megjithatë, për shkak të aktivitetit të ndërprerë të kutive televizive të komprometuara dhe kufizimeve në shikueshmërinë e analistëve të sigurisë kibernetike, ka shumë të ngjarë që madhësia reale e botnet-it t'i tejkalojë këto shifra. Gjatë tetë viteve të fundit, Bigpanzi duket se ka vepruar fshehurazi, duke grumbulluar pasuri në mënyrë diskrete. Ndërsa operacionet e tyre përparuan, ka pasur një përhapje të dukshme të mostrave, emrave të domeneve dhe adresave IP.

Studiuesit sugjerojnë se duke pasur parasysh përmasat dhe ndërlikimin e rrjetit, gjetjet e tyre vetëm gërvishtin sipërfaqen e asaj që Bigpanzi kërkon me të vërtetë. Deri më tani, ekspertët e sigurisë së informacionit nuk kanë zbuluar asnjë detaj në lidhje me atribuimin e operacionit botnet. Megjithatë, një analizë e kërcënimit pcdn i ka çuar ata në një kanal të dyshimtë në YouTube që besohet të jetë nën kontrollin e një kompanie të caktuar.

Vektorët e infeksionit të shfrytëzuar nga aktorët kërcënues pas Bigpanzit

Grupi i krimit kibernetik fokusohet në platformat Android dhe eCos, duke përdorur tre metoda të dallueshme për të infektuar pajisjet e përdoruesve:

• Aplikacionet pirate të filmave dhe TV (Android) : Bigpanzi përdor aplikacionet pirate që lidhen me filmat dhe shfaqjet televizive në pajisjet Android. Përdoruesit shkarkojnë dhe instalojnë pa vetëdije këto aplikacione kërcënuese, duke siguruar një pikë hyrjeje për botnet për të komprometuar pajisjet.
• Firmware gjenerik OTA me dyer të pasme (Android) : Një metodë tjetër përfshin manipulimin e përditësimeve të firmuerit përmes ajrit (OTA) në pajisjet Android. Kriminelët kibernetikë futin dyer të pasme në këto përditësime, duke i lejuar ata të shfrytëzojnë dobësitë gjatë procesit të instalimit dhe të fitojnë akses të paautorizuar në pajisje.
• Firmware "SmartUpTool" me dyer të pasme (eCos) : Për pajisjet që operojnë në platformën eCos, Bigpanzi synon një firmware specifik të quajtur "SmartUpTool". Kriminelët kibernetikë e komprometojnë këtë firmware duke futur dyer të pasme, duke u mundësuar atyre të depërtojnë dhe të kontrollojnë pajisjet e mundësuara nga eCos.

Duke përdorur këto tre metoda, Bigpanzi siguron një gamë të larmishme vektorësh sulmi, duke shfrytëzuar përdoruesit që nuk dyshojnë që angazhohen me përmbajtje pirate ose përditësojnë pajisjet e tyre përmes firmware-it të komprometuar.