La variante Mirai « Pandora » utilisée pour détourner les téléviseurs Androiv

Une variante du botnet Mirai, connue sous le nom de Pandora, a été observée en train d'infiltrer des téléviseurs et des boîtiers de télévision Android à bas prix pour les utiliser dans le cadre d'un botnet afin de mener des attaques par déni de service distribué (DDoS).

Selon les chercheurs, ces compromissions se produisent probablement soit lors de mises à jour de micrologiciels malveillants, soit lorsque les utilisateurs installent des applications permettant de diffuser du contenu vidéo piraté.

L'analyse suggère que cette mise à jour peut avoir été mise à disposition en téléchargement à partir de divers sites Web, car elle est signée avec des clés de test du projet Android Open Source accessibles au public. Le service de porte dérobée est intégré dans boot.img, ce qui lui permet de persister entre les redémarrages du système.

Pandora se propage via des applications de streaming de films piratés

Dans les méthodes de distribution alternatives, on soupçonne que les utilisateurs sont amenés à installer des applications permettant de diffuser des films et des émissions de télévision piratés, ciblant principalement les utilisateurs hispanophones. La liste des applications impliquées comprend Latino VOD (com.global.latinotvod), Tele Latino (com.spanish.latinomobile), UniTV (com.global.unitviptv) et YouCine TV (com.world.youcinetv).

Une fois l'une de ces applications installée, elle lance un service "GoMediaService" en arrière-plan, qui est ensuite utilisé pour décompresser plusieurs fichiers, dont un interprète avec des privilèges élevés et un programme d'installation pour Pandora.

Le but de Pandora est d'établir un contact avec un serveur distant, de remplacer le fichier hosts du système par une variante malveillante et de recevoir des instructions supplémentaires pour lancer des attaques DDoS via les protocoles TCP et UDP et ouvrir un shell inversé.

Les principales cibles de cette campagne sont les boîtiers Android TV abordables tels que Tanix TX6 TV Box, MX10 Pro 6K et H96 MAX X3, tous dotés de processeurs quadricœurs d'Allwinner et Amlogic, ce qui les rend adaptés au lancement d'attaques DDoS.

Pour atténuer de telles infections, il est conseillé aux utilisateurs de maintenir leurs appareils à jour et de télécharger des logiciels exclusivement à partir de sources fiables.