Bigpanzi Botnet

Ang isang dati nang hindi kilalang cybercriminal na organisasyon, na tinawag na 'Bigpanzi,' ay nakakakuha ng malaking kita sa pamamagitan ng pagkompromiso sa Android TV at eCos set-top boxes sa buong mundo mula noong hindi bababa sa 2015. Ayon sa mga mananaliksik, ang grupong ito ng pagbabanta ay namamahala ng malawak na botnet na binubuo ng humigit-kumulang 170,000 araw-araw na aktibong bot. Kapansin-pansin, mula noong Agosto, natukoy ng mga mananaliksik ang 1.3 milyong natatanging IP address na naka-link sa botnet, na ang karamihan ay matatagpuan sa Brazil. Gumagamit ang Bigpanzi ng mga pamamaraan tulad ng pag-infect ng mga device sa pamamagitan ng mga update sa firmware o pagmamanipula ng mga user sa pag-install ng mga nakompromisong app nang hindi nalalaman.

Ang mga impeksyong ito ay nagsisilbing pinagmumulan ng kita para sa mga cybercriminal na ginagawang mga node ang mga nakompromisong device para sa iba't ibang ilegal na aktibidad, kabilang ang mga ilegal na media streaming platform, traffic proxying network, Distributed Denial of Service (DDoS) swarm, at Over-The-Top (OTT) na probisyon ng content .

Ang Bigpanzi Botnet Operation ay Naglalatag ng Karagdagang Mga Banta sa Malware

Ang operasyon ng cybercrime na isinagawa ng Bigpanzi ay gumagamit ng dalawang custom na tool sa malware na kilala bilang 'pandoraspear' at 'pcdn.'

Gumagana ang Pandoraspear bilang isang backdoor Trojan, kumukuha ng kontrol sa mga setting ng DNS, nagtatatag ng komunikasyon sa isang Command and Control (C2) server, at nagpapatupad ng mga command na natanggap mula sa C2 server. Sinusuportahan ng malware ang isang hanay ng mga command, na nagbibigay-daan dito upang manipulahin ang mga setting ng DNS, simulan ang mga pag-atake ng DDoS, self-update, lumikha ng mga reverse shell, pamahalaan ang komunikasyon sa C2, at magsagawa ng mga arbitrary na OS command. Para makaiwas sa pagtuklas, gumagamit ang Pandoraspear ng mga sopistikadong pamamaraan, gaya ng binagong shell ng UPX, dynamic na pag-link, compilation ng OLLVM at mga mekanismong anti-debugging.

Ang Pcdn, sa kabilang banda, ay ginagamit upang makabuo ng isang Peer-to-Peer (P2P) Content Distribution Network (CDN) sa mga nahawaang device at nagtataglay ng mga kakayahan ng DDoS na gawing armas ang mga device na ito.

Ang Bigpanzi Botnet ay May Pandaigdigang Abot

Sa peak times, ipinagmamalaki ng Bigpanzi botnet ang 170,000 araw-araw na bot, at mula noong Agosto 2023, natukoy ng mga mananaliksik ang mahigit 1.3 milyong natatanging IP na nauugnay sa botnet. Gayunpaman, dahil sa pasulput-sulpot na aktibidad ng mga nakompromisong TV box at mga limitasyon sa visibility ng mga cybersecurity analyst, malaki ang posibilidad na ang tunay na laki ng botnet ay lumampas sa mga bilang na ito. Sa nakalipas na walong taon, ang Bigpanzi ay tila nagpatakbo ng patago, na nag-iipon ng kayamanan nang maingat. Habang sumusulong ang kanilang mga operasyon, nagkaroon ng kapansin-pansing paglaganap ng mga sample, domain name, at IP address.

Iminumungkahi ng mga mananaliksik na dahil sa kalubhaan at pagkasalimuot ng network, ang kanilang mga natuklasan ay nakakalat lamang sa ibabaw ng kung ano ang tunay na kasama ng Bigpanzi. Sa ngayon, ang mga eksperto sa seguridad ng impormasyon ay hindi nagsiwalat ng anumang mga detalye tungkol sa pagpapatungkol ng pagpapatakbo ng botnet. Gayunpaman, ang isang pagsusuri sa banta ng pcdn ay humantong sa kanila sa isang kahina-hinalang channel sa YouTube na pinaniniwalaang nasa ilalim ng kontrol ng isang partikular na kumpanya.

Mga Infection Vector na Pinagsasamantalahan ng Mga Aktor ng Banta sa Likod ng Bigpanzi

Nakatuon ang pangkat ng cybercriminal sa mga platform ng Android at eCos, na gumagamit ng tatlong magkakaibang paraan upang mahawa ang mga device ng user:

• Pirated na pelikula at TV app (Android) : Ginagamit ng Bigpanzi ang mga pirated na application na nauugnay sa mga pelikula at palabas sa TV sa mga Android device. Ang mga user ay hindi sinasadyang nagda-download at nag-install ng mga nagbabantang application na ito, na nagbibigay ng entry point para sa botnet upang ikompromiso ang mga device.
• Naka-backdoored na generic na OTA firmware (Android) : Ang isa pang paraan ay kinabibilangan ng pagmamanipula ng over-the-air (OTA) firmware update sa mga Android device. Ipinakilala ng mga cybercriminal ang mga backdoor sa mga update na ito, na nagbibigay-daan sa kanila na samantalahin ang mga kahinaan sa panahon ng proseso ng pag-install at makakuha ng hindi awtorisadong pag-access sa mga device.
• Naka-backdoored na 'SmartUpTool' firmware (eCos) : Para sa mga device na tumatakbo sa eCos platform, tina-target ng Bigpanzi ang isang partikular na firmware na pinangalanang 'SmartUpTool.' Kinokompromiso ng mga cybercriminal ang firmware na ito sa pamamagitan ng pagpapakilala sa mga backdoor, na nagbibigay-daan sa kanila na makalusot at makontrol ang mga device na pinapagana ng eCos.

Sa pamamagitan ng paggamit ng tatlong pamamaraang ito, tinitiyak ng Bigpanzi ang magkakaibang hanay ng mga vector ng pag-atake, sinasamantala ang mga hindi pinaghihinalaang user na nakikipag-ugnayan sa pirated na nilalaman o nag-a-update ng kanilang mga device sa pamamagitan ng nakompromisong firmware.