Des extensions sous Kodi utilisés dans une campagne de cryptominage

Si vous utilisez Kodi, vous avez peut-être remarqué qu'un dépôt néerlandais populaire pour les add-ons (aussi appelés extensions) tiers, XvBMC, a récemment été fermé pour violation de copyright. Après la fermeture, nous avons découvert que le dépôt faisait partie - probablement sans le savoir - d'une campagne de cryptominage malveillante remontant à décembre 2017. Il s'agit du deuxième cas publiquement connu de distribution à grande échelle de logiciels malveillants via des extensions Kodi, et de la première campagne de cryptominage publiquement connue à avoir été lancée via la plateforme Kodi.

Fait à noter, cette campagne propulse des binaires spécifiquement pour Linux ou Windows aux fans de Kodi utilisant ces systèmes d’opération.

Pour les personnes qui ne seraient pas familières avec la plateforme Kodi, ce populaire logiciel de lecteur multimédia n’offre pas de contenu en soi. Cependant, les utilisateurs peuvent étendre les fonctionnalités du logiciel en installant des extensions, qu’on peut trouver dans le répertoire officiel de Kodi et sur divers répertoires de tiers-parties. Certains de ces répertoires tiers permettent aux usagers d’accéder à du contenu piraté, ce qui a généré une controverse entourant Kodi.

Récemment, des add-ons contrevenant au droit d’auteur ont aussi été accusés d’exposer leurs utilisateurs à des logiciels malveillants, mais à part un incident au cours duquel un module DDoS a été ajouté à un add-on Kodi populaire provenant d’une tierce-partie, aucune évidence de distribution de logiciel malveillant via les extensions de Kodi n’avait été mise en lumière jusqu’à aujourd’hui.

La campagne

Selon nos recherches, le logiciel malveillant que nous avons trouvé dans le répertoire XvMBC a d’abord été ajouté aux répertoires d’extensions tierces Bubbles et Gaia (une ramification de Bubbles), respectivement en décembre 2017 et janvier 2018. À partir de ces deux sources, et grâce à des mises-à-jour de routine auprès de de propriétaires non-méfiants d'autres dépôts tiers d’extensions et des compilations prêtes à l’emploi pour Kodi, le logiciel malveillant s’est propagé à travers l’écosystème de Kodi.

Le logiciel malveillant possède une architecture à plusieurs étapes et emploie des mesures pour s'assurer que sa charge utile finale - le cryptomineur - ne peut être facilement retracée jusqu'à l'extension malveillante. Le cryptomineur fonctionne sous Windows et Linux et exploite la cryptomonnaie Monero (XMR). Nous n'avons pas vu de version de ce logiciel malveillant ciblant les appareils utilisant Android ou MacOS dans la nature.

Les victimes de cette campagne se retrouvent affectées par le cryptomineur illicite de l'une des trois façons suivantes :

1. Ils ajoutent l'URL d'un dépôt malveillant à leur installation Kodi afin de télécharger quelques add-ons. Le module complémentaire malveillant est ensuite installé chaque fois qu'ils mettent à jour leurs modules complémentaires Kodi.
2. Ils installent une compilation Kodi prête à l'emploi qui inclut l'URL d'un dépôt malveillant. Le module complémentaire malveillant est ensuite installé chaque fois qu'ils mettent à jour leurs modules complémentaires Kodi.
3. Ils installent une compilation Kodi prête à l'emploi contenant une extension malveillante mais aucun lien vers un référentiel pour les mises à jour. Ils sont initialement compromis, mais ne reçoivent aucune autre mise à jour en provenance de l'add-on malveillant. Cependant, si le cryptomineur est installé, il sera persistant et recevra les mises à jour.

Les cinq pays les plus touchés par cette menace, selon la télémétrie de l'ESET, sont les États-Unis, Israël, la Grèce, le Royaume-Uni et les Pays-Bas. Ce n'est pas surprenant, puisque tous ces pays figurent sur la liste des « pays à trafic élevé », selon les récentes statistiques communautaires non officielles de Kodi Addon. D'autres explications possibles pour les distributions géographiques sont les compilations Kodi spécifiques à chaque pays contenant les dépôts malveillants, ou les dépôts malveillants avec des bases d'utilisateurs dans les pays en question, par exemple le répertoire néerlandais susmentionné XvBMC.

Figure 1 - Distribution des détections ESET du cryptomineur

Au moment d'écrire ces lignes, les dépôts à partir desquels le logiciel malveillant a commencé à se propager sont soit dissous (Bubbles), soit ne servent plus le code malveillant (Gaia). En revanche, les victimes involontaires, sur les appareils desquels le cryptomineur est installé, sont probablement encore affectées. Qui plus est, le logiciel malveillant figure toujours dans d'autres répertoires et dans certaines versions prêtes à l'emploi de Kodi, très probablement à l'insu de leurs auteurs.

Figure 2 – Chronologie de la campagne

Analyse technique

Comment ça fonctionne

Une fois que les victimes ont ajouté le répertoire malveillant à leur installation Kodi, ce répertoire utilise un add-on nommé script.module.simplejson - dont le nom correspond à une extension légitime utilisée par plusieurs autres add-on. Cependant, alors que d’autres répertoires disposent de l’extension script.module.simplejson uniquement dans la version 3.4.0, ce répertoire malveillant utilise cet add-on avec la version 3.4.1.

Puisque Kodi se fie aux numéros de version pour la détection des mises à jour, tous les utilisateurs avec la fonction Auto Update activée (qui est un paramètre par défaut courant) recevront automatiquement la version script.module.simplejson 3.4.1 du dépôt malveillant.

La seule partie de la version 3.4.1 de script.module.simplejson qui différe par rapport à la version 3.4.0 est ses métadonnées – le fichier addon.xml comprend une ligne additionnelle <requires> :

Celle-ci indique à Kodi de télécharger et d’installer une extension nommée script.module.python.requests, en version 2.16.0 ou ultérieure. L’add-on script.module.python.requests est exclusivement utilisée par le répertoire malveillant. Il s’agit d’une modification de l’extension légitime script.module.requests, qui inclut du code Python supplémentaire malveillant.

Ce code Python télécharge, le cas échéant, un binaire Windows ou Linux et exécute ce dernier. Cet exécutable est un downloader qui récupère et exécute la charge utile finale, un cryptomineur exécutable. Si l'installation du cryptomineur est réussie, le code Python malveillant passe à une phase d’autodestruction et se supprime.

Figure 3 – Le modèle d’exécution du logiciel malveillant

Le code Python

Dans l’échantillon analysé ici, le code malveillant obscurci se trouve dans le fichier script.module.python.requests\lib\requests\packages\urllib3\connectionpool.py, lignes 846-862.

Figure 4 – Le code malveillant obscurci dans connectionpool.py

Une fois désobscurci et commenté, le code devient beaucoup plus lisible, comme on peut le voir à la Figure 5.

Figure 5 – Le code malveillant après désobscurcissement (commentaires ajoutés par le chercheur)

Ce code a clairement été rédigé par une personne ayant une bonne connaissance de Kodi et de son architecture d’extensions. Le script détecte le système d’opération utilisé (seules Windows et Linux sont supportés; Android et macOS sont ignorés), se connecte au serveur C&C, télécharge et exécute un module de téléchargement binaire correspondant selon l’OS.

Le binaire Windows est écrit à l’adresse C:\Users\[username]\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\TrustedInstaller.exe, alors que le binaire Linux se trouve dans /tmp/systems/system.

Après avoir récupéré et exécuté le module de téléchargement binaire, le script Python – ici connectionpool.py - démarre sa routine d’autodestruction. En observant la Figure 4, on constate que le code malveillant est encadré par les marqueurs spéciaux #-+- et #-_-#. Le code s’exécute après que l’exécution du téléchargeur binaire soit réussie, ouvre son fichier Python, trouve ces marqueurs spécifiques et les supprime, ainsi que tout ce qui se trouve entre ceux-ci. Le fichier Python nettoyé est alors sauvegardé. Résultat : l’installation du cryptomineur ne peut pas être facilement retracé, et il est difficile de remonter à l’extension Kodi responsable.

Figure 6 – Autodestruction du code Python (commentaires ajoutés par le chercheur)

Cryptomineur exécutable

Le module de téléchargement (EXE 64 bits pour Windows, fichier ELF 64 bits pour Linux) récupéré par le code Python contient une configuration chiffrée du cryptomineur et des liens de téléchargement pour la charge utile de la deuxième étape - les binaires du cryptomineur.

Les téléchargeurs binaires récupèrent les charges utiles de deuxième étape appropriées à l'OS (binaires du cryptomineur pour différents GPU et un module malveillant pour le lancement et la mise à jour) dans des fichiers ZIP protégés par mot de passe. Ces binaires sont compilés pour Windows 64 bits et Linux 64 bits et sont basés sur le logiciel open-source de chiffrement XMRStak.

La configuration de ce cryptomineur va comme suit :

{"monero":{"default":{"wallet":"49WAk6TaCMX3HXN22nWPQAfBjP4J3ReUKg9tu3FoiPugcJs3fsnAvyGdrC41HZ4N6jcHEiwEGvH7z4Sn41PoZtLABFAVjm3","password":"","name":"","email":"","weight":1,"format":{"rig":"","address":"%w%.%n%/%e%","password":"%p%"}},"pools":[{"host":"xmr-us-east1.nanopool.org:14444"},{"host":"xmr-eu1.nanopool.org:14444"},{"host":"xmr-asia1.nanopool.org:14444"}]}}

Mon appareil a-t-il été compromis? Comment puis-je le nettoyer?

Si vous utilisez Kodi sur un appareil utilisant Windows ou Linux et avez installé des extensions provenant de dépôts de tiers-parties, ou de compilations prêtes à l’emploi pour Kodi, vous pourriez avoir été affecté par cette campagne de cryptominage.

Pour vérifier si votre appareil a été compromis, utilisez une solution anti logiciel malveillant fiable pour scanner l’appareil. Les produits ESET détectent et bloquent ces menaces sous les noms Win64/CoinMiner.II et Win64/CoinMiner.MK sous Windows et Linux/CoinMiner.BC, Linux/CoinMiner.BJ, Linux/CoinMiner.BK et Linux/CoinMiner.CU sous Linux. Si vous utilisez Windows, vous pouvez utiliser le scanner en ligne gratuit ESET Free Online Scanner, et si vous utilisez sur Linux, la version d’essai gratuite de l’antivirus ESET NOD32 Antivirus for Linux Desktop, afin de balayer votre ordinateur pour détecter la présence de ces menaces et de supprimer toutes les menaces détectées. Les clients d’ESET sont automatiquement protégés.

Conclusion

Bien que les principaux répertoires d'add-on qui ont initialement introduit ce logiciel malveillant dans l'écosystème Kodi soient maintenant fermés ou nettoyés, cela ne concerne pas les nombreux périphériques qui avaient déjà exécuté les add-ons malveillants. Comme on peut le voir à la Figure 7, de nombreux appareils exploitent encore Monero pour les cybercriminels derrière cette campagne.

Figure 7 - Paiements reçus par les auteurs du logiciel malveillant

Selon ces statistiques du portefeuille Monero des auteurs de ce logiciel malveillant, fournies par Nanopool, un minimum de 4774 victimes sont affectées par le logiciel malveillant au moment d'écrire ces lignes, et ont généré 62,57 XMR (environ 5700 EUR ou 6700 USD) à ce jour.

En plus d'être le deuxième logiciel malveillant, et le premier cryptomineur, distribué par le populaire lecteur multimédia Kodi, cette campagne de logiciels malveillants a employé une technique de compromission intéressante. En utilisant la fonctionnalité de scriptage complexe des add-ons Kodi, qui fonctionne sur tous les OS supportés par Kodi - Android, Linux, macOS et Windows - les cybercriminels derrière cette campagne ont facilement ciblé Kodi sous Linux et Windows.

Aussi difficile que cela puisse paraître, ils ont peut-être pu cibler des périphériques sur un plus grand nombre de systèmes d'exploitation. En construisant des versions natives de leur cryptomineur pour ces OS, ou en fournissant des charges utiles alternatives plus adaptées à la plateforme (par exemple, des charges utiles moins gourmandes en énergie pour les appareils alimentés par batterie), ils ont peut-être compromis davantage les OS que Kodi supporte. Alors que les mesures de sécurité des systèmes d'exploitation continuent de se resserrer, les opportunités offertes par les fonctionnalités d'ajout d'applications et de scriptage, telles que celles qui ont été exploitées ici, semblent susceptibles de devenir des cibles de plus en plus populaires auprès des cybercriminels. Nous l'avons vu dans le passé, puis recyclé plus récemment, avec les macros Visual Basic dans les applications Microsoft Office. Les extensions Kodi ne constituent peut-être pas « la prochaine VBA », mais ces mesures prises ici pourraient représenter une indication de ce qui nous attend.

Indicateurs de compromission (IoCs)

Extensions Kodi malveillantes

Puisque les dépôts d'origine contenant des add-ons malveillants (Bubbles et Gaia) sont déjà supprimés, nous fournissons des exemples de liens vers des dépôts miroirs qui contiennent encore du code malveillant, et des exemples de liens vers quelques constructions malveillantes de Kodi choisies de manière aléatoire.

Il convient de noter que les propriétaires des sources secondaires de fichiers malveillants, ci-dessous, les propagent très probablement sans le savoir.

ESET detects the malicious Python code as Python/CoinMiner.W.

ESET détecte le cryptomineur ainsi que des modules de cryptominage et de téléchargement comme étant Win64/CoinMiner.II et Win64/CoinMiner.MK. Notre télémétrie montre plus de 100 haches distincts pour ce nom de détection.

ESET détecte la version Linux des modules de cryptominage et de téléchargement comme étant Linux/CoinMiner.BC, Linux/CoinMiner.BJ, Linux/CoinMiner.BK, et Linux/CoinMiner.CU.