Bigpanzi Botnet

En tidigare oidentifierad cyberkriminell organisation, kallad 'Bigpanzi', har genererat betydande vinster genom att kompromissa med Android TV och eCos set-top-boxar globalt sedan åtminstone 2015. Enligt forskare hanterar denna hotgrupp ett omfattande botnät som består av cirka 170 000 dagliga aktiva bots. Noterbart, sedan augusti, har forskare identifierat 1,3 miljoner unika IP-adresser kopplade till botnätet, med en majoritet i Brasilien. Bigpanzi använder metoder som att infektera enheter genom firmwareuppdateringar eller att manipulera användare att installera komprometterade appar omedvetet.

Dessa infektioner fungerar som en intäktskälla för cyberbrottslingar som omvandlar komprometterade enheter till noder för olika olagliga aktiviteter, inklusive illegala mediastreamingplattformar, trafikproxynätverk, DDoS-svärmar (Distributed Denial of Service) och Over-The-Top (OTT) innehåll .

Bigpanzi Botnet Operation distribuerar ytterligare hot mot skadlig programvara

Cyberbrottsoperationen som genomförs av Bigpanzi använder två anpassade malware-verktyg som kallas "pandoraspear" och "pcdn."

Pandoraspear fungerar som en bakdörrstrojan, tar kontroll över DNS-inställningar, upprättar kommunikation med en Command and Control-server (C2) och utför kommandon som tas emot från C2-servern. Skadlig programvara stöder en rad kommandon, vilket gör att den kan manipulera DNS-inställningar, initiera DDoS-attacker, självuppdatering, skapa omvända skal, hantera kommunikation med C2 och exekvera godtyckliga OS-kommandon. För att undvika upptäckt använder Pandoraspear sofistikerade tekniker, såsom ett modifierat UPX-skal, dynamisk länkning, OLLVM-kompilering och anti-felsökningsmekanismer.

Pcdn, å andra sidan, används för att konstruera ett Peer-to-Peer (P2P) Content Distribution Network (CDN) på infekterade enheter och har DDoS-funktioner för att beväpna dessa enheter ytterligare.

Bigpanzi Botnet har global räckvidd

Under högtrafik har Bigpanzi-botnätet 170 000 dagliga bots, och sedan augusti 2023 har forskare identifierat över 1,3 miljoner distinkta IP-adresser associerade med botnätet. Men på grund av den intermittenta aktiviteten av komprometterade TV-boxar och begränsningar i cybersäkerhetsanalytikers synlighet är det mycket troligt att den verkliga storleken på botnätet överträffar dessa siffror. Under de senaste åtta åren verkar Bigpanzi ha opererat i hemlighet och samlat rikedomar diskret. Allt eftersom deras verksamhet utvecklades har det skett en anmärkningsvärd spridning av prover, domännamn och IP-adresser.

Forskare menar att med tanke på nätverkets enorma omfattning och invecklade, skrapar deras resultat bara på ytan av vad Bigpanzi verkligen innebär. Hittills har informationssäkerhetsexperter inte avslöjat några detaljer om tillskrivningen av botnät-operationen. Men en analys av pcdn-hotet har lett dem till en misstänkt YouTube-kanal som tros vara under kontroll av ett visst företag.

Infektionsvektorer som utnyttjas av hotaktörerna bakom Bigpanzi

Den cyberkriminella gruppen fokuserar på Android- och eCos-plattformar och använder tre olika metoder för att infektera användarenheter:

• Piratkopierade film- och tv-appar (Android) : Bigpanzi utnyttjar piratkopierade applikationer relaterade till filmer och tv-program på Android-enheter. Användare laddar omedvetet ned och installerar dessa hotfulla applikationer, vilket ger botnätet en ingångspunkt för att äventyra enheterna.
• Backdoored generisk OTA-firmware (Android) : En annan metod innebär att manipulera OTA-firmwareuppdateringar på Android-enheter. De cyberbrottslingar introducerar bakdörrar i dessa uppdateringar, vilket gör att de kan utnyttja sårbarheter under installationsprocessen och få obehörig åtkomst till enheterna.
• Backdoored 'SmartUpTool' firmware (eCos) : För enheter som arbetar på eCos-plattformen riktar Bigpanzi sig mot en specifik firmware som heter 'SmartUpTool'. De cyberbrottslingar äventyrar denna firmware genom att introducera bakdörrar, vilket gör att de kan infiltrera och kontrollera enheter som drivs av eCos.

Genom att använda dessa tre metoder säkerställer Bigpanzi en mångfald av attackvektorer och utnyttjar intet ont anande användare som ägnar sig åt piratkopierat innehåll eller uppdaterar sina enheter genom komprometterad firmware.