Mirai-Variante „Pandora“ wird zur Kaperung von Androiv-Fernsehern verwendet
Es wurde beobachtet, dass eine Variante des Mirai-Botnetzes, bekannt als Pandora, kostengünstige Android-basierte Fernsehgeräte und TV-Boxen infiltriert, um sie als Teil eines Botnetzes für die Durchführung verteilter Denial-of-Service-Angriffe (DDoS) zu nutzen.
Den Forschern zufolge treten diese Kompromittierungen wahrscheinlich entweder bei böswilligen Firmware-Updates auf oder wenn Benutzer Anwendungen zum Streamen von Raubkopien von Videoinhalten installieren.
Die Analyse legt nahe, dass dieses Update möglicherweise von verschiedenen Websites zum Download bereitgestellt wurde, da es mit öffentlich verfügbaren Testschlüsseln des Android Open Source Project signiert ist. Der Backdoor-Dienst ist in boot.img eingebettet, sodass er zwischen Systemneustarts bestehen bleibt.
Pandora verbreitete sich durch raubkopierte Film-Streaming-Apps
Bei alternativen Verbreitungsmethoden wird vermutet, dass Benutzer dazu verleitet werden, Anwendungen zum Streamen von Raubkopien von Filmen und Fernsehsendungen zu installieren, die sich hauptsächlich an spanischsprachige Benutzer richten. Die Liste der beteiligten Apps umfasst Latino VOD (com.global.latinotvod), Tele Latino (com.spanish.latinomobile), UniTV (com.global.unitviptv) und YouCine TV (com.world.youcinetv).
Sobald eine dieser Apps installiert ist, initiiert sie einen Hintergrunddienst „GoMediaService“, der dann zum Entpacken mehrerer Dateien verwendet wird, darunter ein Interpreter mit erhöhten Rechten und ein Installationsprogramm für Pandora.
Der Zweck von Pandora besteht darin, Kontakt zu einem Remote-Server herzustellen, die Hosts-Datei des Systems durch eine bösartige Variante zu ersetzen und weitere Anweisungen zum Starten von DDoS-Angriffen über TCP- und UDP-Protokolle und zum Öffnen einer Reverse-Shell zu erhalten.
Die Hauptziele dieser Kampagne sind erschwingliche Android-TV-Boxen wie Tanix TX6 TV Box, MX10 Pro 6K und H96 MAX X3, die alle über Quad-Core-Prozessoren von Allwinner und Amlogic verfügen und sich daher für die Durchführung von DDoS-Angriffen eignen.
Um solche Infektionen einzudämmen, ist es für Benutzer ratsam, ihre Geräte auf dem neuesten Stand zu halten und Software ausschließlich von vertrauenswürdigen Quellen herunterzuladen.
