Bigpanzi Botnet infecteert honderdduizenden Android-apparaten
Beveiligingsexperts hebben een Distributed Denial of Service (DDoS)-botnet, dat mogelijk gevolgen heeft voor miljoenen smart-tv's en settopboxen, toegeschreven aan een gevestigde cybercriminaliteitsgroep genaamd Bigpanzi, die al acht jaar actief is.
Tijdens het hoogtepunt van de campagne waren er dagelijks minstens 170.000 bots actief die Android-tv's en streamingapparaten infecteerden via illegale apps en firmware-updates. Het typische infectiescenario hield in dat gebruikers dubieuze streaming-sites op hun smartphones bezochten en onbedoeld kwaadaardige apps downloadden naar hun Android-smart-tv's.
Eenmaal geïnfecteerd werden apparaten uitgebuit voor verschillende cybercriminaliteit, waaronder DDoS-aanvallen en de overname van andere streams, waarbij een aanvaller inhoud op verschillende kanalen verving. Bij een incident in december 2023 in de Verenigde Arabische Emiraten werden reguliere uitzendingen gekaapt om beelden uit het conflict tussen Israël en Palestina weer te geven.
Een Chinees beveiligingsbedrijf waarschuwde dat het potentieel van door Bigpanzi gecontroleerde tv's en settopboxen om gewelddadige, terroristische of expliciete inhoud uit te zenden, of om geavanceerde, door AI gegenereerde video's te gebruiken voor politieke propaganda, een substantiële bedreiging vormt voor de sociale orde en stabiliteit.
Bigpanzi neemt een pagina uit Mirai's boek
Hoewel ze de DDoS-geschiedenis van het botnet niet gedetailleerd beschrijven of deze toeschrijven aan spraakmakende aanvallen, merkten onderzoekers op dat de DDoS-commando's waren geërfd van de beruchte Mirai. Het onderzoek van de onderzoekers bracht de pandoraspear-malware aan het licht, geassocieerd met Bigpanzi, die in latere versies elf Mirai-gerelateerde DDoS-aanvalsvectoren bevatte.
Bigpanzi is, samen met de pandoraspear-malware, in ieder geval sinds 2015 actief. Er worden inspanningen geleverd om Bigpanzi op te sporen en te bestrijden, met de nadruk op het verstoren van hun activiteiten. De groep richtte zich voornamelijk op Brazilië, vooral Sao Paulo, waar tijdens het hoogtepunt van de campagne een aanzienlijk aantal bots werd geïdentificeerd.
De ware omvang van het botnet werd duidelijk toen onderzoekers de controle over twee verlopen domeinen overnamen die werden gebruikt voor de commando- en controle-infrastructuur van het botnet. Als reactie daarop namen de cybercriminelen wraak door de domeinen offline te zetten.
Er wordt vermoed dat de groep zijn DDoS-activiteiten heeft verplaatst naar een ander botnet onder hun controle, en dit heeft gebruikt voor lucratiever cybercriminaliteit, zoals het functioneren als een netwerk voor het leveren van inhoud. Er wordt aangenomen dat de huidige omvang van het botnet groter is dan de zescijferige telling die op zijn hoogtepunt in augustus werd geregistreerd, omdat apparaten van consumentenkwaliteit mogelijk niet consistent zijn ingeschakeld.
