TACERT台灣學術網路危機處理中心

[國際]惡意Kodi附加元件安裝Windows和Linux加密貨幣挖掘木馬

發佈日期：2018-09-14

參考位址： https://www.bleepingcomputer.com/news/security/malicious-kodi-add-ons-install-windows-and-linux-coin-mining-trojans/

消息內容：

惡意Kodi附加元件安裝Windows和Linux加密貨幣挖掘木馬

新聞來源：BleepingComputer

一些非官方的Kodi開源媒體播放器的倉庫提供了一個經過修改的附加元件，並在Windows與Linux上下載挖礦的惡意程式。

安全研究人員發現，網絡犯罪分子透過篡改合法附加元件感染執行Kodi程式的機器，他們希望利用Kodi用戶的資源來挖取門羅加密貨幣。

該行動似乎是在2017年12月透過‘script.module.simplejson’附加元件啟動的，該元件由現在不存在的 Bubbles倉庫託管著。隨著該倉庫的消失，Gaia倉庫便開始散播惡意的擴充元件。

ESET安全研究人員在XvBMC倉庫中發現這個活動，該倉庫最近因為侵犯版權而被關閉，但其他倉庫也可能會提供被竄改的文件。

由於Kodi的附加元件可以從很多不同的倉庫提供，而更新的驗證只需要版本號，受害者可以在刷新倉庫時將惡意附加元件添加到Kodi安裝中。

研究人員提到，更新其他信任的倉庫的例程會導致惡意元件在Kodi生態系統中傳播。
目前，受影響的前5個國家是美國、以色列、希臘、英國和荷蘭，荷蘭也是XvBMC的發源地。這些國家也是Kodi附加元件流量最多的國家。
 
 “script.module.simplejson”是一個合法的Kodi附加元件的名字，但是網絡犯罪分子濫用了Kodi使用的更新系統，發布了一個版本號更高的版本。

目前“script.module.simplejson'的版本是3.4.0，而惡意倉庫的版本是3.4.1。由於該倉庫的版本更高，Kodi用戶會自動更新並安裝惡意版本。

ESET的分析顯示，威脅行為者修改了原始附加元件的元資料，指示Kodi下載一個2.16.0或以上版本名為“script.module.python”的附加元件。
新下載的附加元件包含Python程式碼，這些程式碼將輸入並執行cryptominer。一旦惡意程式成功安裝，引入它的Python程式碼就會被刪除。
 
安全人員提到，程式碼顯然是由一個對Kodi及其附加元件結構非常了解的人編寫的。這個腳本檢測它運行在哪個操作系統上(只支持Windows和Linux，忽略Android和macOS)，連線到它的C&C伺服器，下載並執行一個符合作業系統的二進制下載模組。

當用戶請求Kodi檢查附加元件更新的受害倉庫URL時，或者當他們安裝了媒體播放器的現成版本，其中已經包含了URL或修改後的附加元件本身時，就會發生感染。

ESET認為，安裝Kodi的用戶使用第三方倉庫，都有可能被攻擊。

回最新消息列表頁