Add-ons para Kodi manipulados para propagar malware de criptominería

Si utilizas Kodi probablemente estés al tanto de que el popular repositorio holandés de add-ons para terceras partes, XvBMC, fue cerrado recientemente luego de ser advertido por no respetar las advertencias por violación de derechos de autor. Luego del cierre, hemos descubierto que el repositorio era –probablemente sin saberlo- parte de una campaña de criptominería que se remonta a diciembre de 2017. Se trata del segundo caso que se conoce de manera pública de distribución de malware a gran escala a través de adds-on para Kodi, y la primera campaña de criptominería que se lanza a través de esta plataforma. Resulta interesante que esta campaña introduce binarios específicos de Linux y/o Windows en los sistemas operativos de los usuarios de Kodi.

Para quienes no están familiarizados con la plataforma Kodi, el popular programa de reproducción multimedia no provee contenido suyo, pero los usuarios pueden ampliar las funcionalidades del programa mediante la instalación de add-ons que están disponibles en el repositorio oficial de Kodi y en repositorios de terceros. Algunos add-ons de terceros permiten a los usuarios acceder a contenido pirata, lo que generó cierta controversia alrededor de Kodi.

Últimamente, los add-ons acusados de infringir derechos de autor también fueron acusados de exponer a los usuarios a malware. Pero más allá de un incidente en el que un módulo DDoS fue añadido a un popular add-ons de Kodi de una tercera parte, no hubo evidencia de la existencia de un malware distribuido a través de add-ons de Kodi hasta ahora.

La campaña maliciosa a través de Kodi

De acuerdo a nuestra investigación, el malware que encontramos en el repositorio XvMBC fue añadido en un primer momento al popular repositorio de terceras partes Bubbles y Gaia en diciembre de 2017 y enero de 2018 respectivamente. Desde estas dos fuentes, y mediante rutinas de actualización de propietarios de repositorios desprevenidos de otras add-ons de terceras partes y builds de Kodi pre armados, el malware se propagó a través del ecosistema de Kodi.

El malware tiene una arquitectura multi-stage y emplea medidas para asegurar que el payload final –el criptominero- no puede ser rastreado fácilmente hacia el add-on malicioso. El criptominero corre en Windows y Linux y mina la criptomoneda Monero (XMR). Hasta el momento, no hemos visto una versión activa dirigida a dispositivos Android o macOS.

Las víctimas de esta campaña suelen terminar ejecutando el criptominero por alguna de estas vías:

1. Añaden la URL de un repositorio malicioso al instalador de Kodi para descargar algún add-on. El add-on malicioso es instalado una vez que actualizan los add-ons de Kodi.
2. Instalan builds de Kodi pre armados que incluyen la URL de un repositorio malicioso. El add-on malicioso es luego instalado cuando actualizan los add-ons de Kodi.
3. Instalan builds de Kodi pre armados que contienen un add-on malicioso, pero sin un enlace hacia un repositorio para actualizaciones. Son comprometidos desde el inicio, aunque no reciben más actualizaciones para el add-on malicioso. Sin embargo, si el criptominero es instalado, persistirá y recibirá actualizaciones.

El top cinco de los países afectados por esta amenaza, de acuerdo a la telemetría de ESET, son: Estados Unidos, Israel, Grecia, Reino Unido y Holanda, lo cual no resulta extraño si se tiene en cuenta que todos estos países se encuentran en la lista de los países con mayor tráfico de acuerdo a estadísticas de Addon no oficiales de la comunidad de Kodi.

Figura 1 – Distribución de las detecciones de criptomineros según ESET.

A partir de esta investigación, los repositorios desde los cuales comenzó a propagarse el malware dejaron de existir (en el caso de Bubbles) o ya no están propagando el código malicioso (Gaia). Sin embargo, aquellas víctimas que lograron instalar el criptominero en sus dispositivos aún están siendo afectadas. Encima de eso, el malware todavía persiste en algunos builds de Kodi pre armados, probablemente sin que lo sepan sus creadores.

Figura 2 – Línea de tiempo de la campaña

Análisis técnico: Cómo funciona la campaña maliciosa en Kodi

Luego de que la víctima añade el repositorio malicioso dentro de la instalación de Kodi, el repositorio malicioso coloca un add-on con el nombre script.module.simplejson –; un nombre que coincide con el de un add-on legítimo utilizado por muchos otros add-ons. Sin embargo, mientras que otros repositorios solo tienen el script.module.simplejson add-on de la versión 3.4.0, el repositorio malicioso coloca este add-on con el número de versión 3.4.1.

Desde que Kodi se basa en el número de las versiones para actualizar las detecciones, todos los usuarios con la función Auto Update habilitada (que comúnmente viene configurada por defecto) automáticamente recibirán la versión 3.4.1 del script.module.simplejson desde el repositorio malicioso.

La única parte del script.module.simplejson de la versión 3.4.1 que presenta modificaciones con respecto a la versión 3.4.0 son sus metadatos –el archivo addon.xml contiene una línea adicional de <requires>:

Esto le indica a Kodi que descargue e instale un add-on cuyo nombre es script.module.python.requests, en su versión 2.16.0 o superior. El add-on  script.module.python.requests es servido por el repositorio malicioso únicamente. Es una modificación del add-on script.module.requests legítimo que contiene adicionalmente unas líneas de código malicioso en Pyhton.

El código en Python descarga y ejecuta según convenga, un binario de Windows o Linux. Este ejecutable es un downloader que llama y ejecuta el payload final: un criptominero ejecutable. Si la instalación del criptominero es exitosa, el código malicioso en Python pasa a una etapa de autoeliminación y se borra.

Figura 3 – Los malware.

Código malicioso en Python

En la muestra que analizamos aquí, el código malicioso ofuscado está colocado las líneas 846-862 del archivo script.module.python.requests\lib\requests\packages\urllib3\connectionpool.py.

Figura 4 – Código malicioso ofuscado en connectionpool.py

Cuando es desofuscado y comentado, el código se torna mucho más legible, como se puede apreciar en la Figura 5.

Figura 5. Código malicioso después de la desofuscación (comentario añadido por el investigador)

El código es claramente escrito por alguien con un buen conocimiento de Kodi y de la arquitectura de los add-on. El script detecta qué sistema operativo se está ejecutando (solo soporta Windows y Linux), lo conecta con su servidor C&C y descarga y ejecuta un módulo downloader binario apropiado según sea el sistema operativo.

El binario de Windows es esrito para
:\Users\[username]\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\TrustedInstaller.exe, mientras que el binario de Linux es escrito para /tmp/systems/systemd.

Luego de recuperar y correr el módulo downloader binario, el script en Python - connectionpool.py –corre la rutina de eliminación. Mirando hacia atrás la Figura 4, podemos ver que el código malicioso está entre corchetes con los marcadores especiales #-+- y  #-_-#. El código corre luego de que la exitosa ejecución del módulo downloader abra el archivo Python, encuentre estos marcadores especiales y los elimine, así como también todo lo que esté en el medio de ambos. El archivo Python limpio es entonces guardado. Como resultado, la instalación del criptominero no puede ser fácilmente rastreada hacia el add-on para Kodi.

Figura 6. Autoeliminación en código Python (comentarios añadidos por el investigador)

Criptominero ejecutable

El módulo downloader (archive 64-bit EXE para Windows, 64-bit ELF para Linux) recuperado por el código Python contiene una configuración del criptominero cifrada y enlaces de descarga para el payload de segunda fase –los actuales binarios del criptominero.

El downloader binario entrega el payload de segunda fase apropiado según el sistema operativo (binarios de criptominero para diferentes GPUs y un módulo lanzador/actualizador malicioso) en archivos ZIP protegidos con contraseña. Estos binarios son compilados tanto para Windows 64-bit como para Linux 64-bit y se basan en el software para criptominería de código abierto XMRStak.

La configuración para el criptominero es la siguiente:

{"monero":{"default":{"wallet":"49WAk6TaCMX3HXN22nWPQAfBjP4J3ReUKg9tu3FoiPugcJs3fsnAvyGdrC41HZ4N6jcHEiwEGvH7z4Sn41PoZtLABFAVjm3","password":"","name":"","email":"","weight":1,"format":{"rig":"","address":"%w%.%n%/%e%","password":"%p%"}},"pools":[{"host":"xmr-us-east1.nanopool.org:14444"},{"host":"xmr-eu1.nanopool.org:14444"},{"host":"xmr-asia1.nanopool.org:14444"}]}}

¿Mi dispositivo fue comprometido? ¿Cómo lo limpio?

Si estás utilizando Kodi en un dispositivo con Windows o Linux y tienes instalados add-ons de repositorios de terceras parte o un build de Kodi pre armado, hay posibilidades de que hayas sido infectado por esta campaña de criptominería.

Para corroborar si tu dispositivo fue o no comprometido, revísalo con una solución de seguridad confiable. Los productos de ESET detectan y bloquean estas amenazas como Win64/CoinMiner.II y Win64/CoinMiner.MK en Windows y como Linux/CoinMiner.BC, Linux/CoinMiner.BJ, Linux/CoinMiner.BK, y Linux/CoinMiner.CU en Linux. Para Windows puedes utilizar el Explorador Online y Gratuito de ESET y en Linux la prueba gratuita del Antivirus ESET NOD32 para escritorio de Linux y de esta manera podrás revisar si existe la presencia de esta amenaza en tu computadora y remover cualquier cosa que sea detectada. Aquellos que ya tengan soluciones de ESET en sus dispositivos están protegidos automáticamente.

Conclusión

A pesar de que los principales repositorios de add-on que inicialmente introducían este malware en el ecosistema de Kodi están cerrados o eliminaron la amenaza, esto no cambia el hecho de que muchos dispositivos ya ejecutaron los add-ons maliciosos. Como se puede ver en la Figura 7, varios dispositivos aún están minando Monero para los cibercriminales que están detrás de esta campaña.

Figura 7. Pagos que recibieron los autores del malware

Según estas estadísticas de la billetera de Monero de los autores del malware, aportada por Nanopool, al menos 4774 víctimas aún están siendo afectadas actualmente por el código malicioso y han generado 62,57 XMR (aproximadamente 5700 euros o 6700 dólares americanos) hasta la presente semana.

Además de ser el segundo malware y el primer criptominero distribuido a través de la popular plataforma Kodi, para esta campaña maliciosa se empleó un compromiso técnico interesante. Al utilizar las complejas funcionalidades de código que utilizan los add-ons de Kodi, que trabajan entre sistemas operativos que Kodi soporta (Android, Linux, macOS y Windows) los cibercriminales detrás de esta campaña se dirigieron fácilmente a Kodi para Windows y Linux.

Probablemente los responsables de esta campaña eran capaces de atacar dispositivos en más sistemas operativos. Ya sea mediante la construcción de versiones nativas de sus criptomoneros para estos otros sistemas operativos o creando payloads alternativos más ajustados a la plataforma (por ejemplo, payloads menos intensos en cuanto a energía para dispositivos alimentados a través de una batería) podrían haber comprometido más sistemas operativos que soporta Kodi.

En la medida de que las disposiciones de seguridad de los sistemas operativos se sigan ajustando, la búsqueda de oportunidades en aplicaciones del tipo add-on y/o de funcionalidades que se apoyan en código, tal como eran las que fueron explotadas aquí, parece que se convertirá en algo cada vez más recurrente por parte de los cibercriminales. Con los macros de Visual Basic en aplicaciones para Microsoft Office hemos visto esto mismo en el pasado y también recientemente. Los add-ons de Jodi puede que no vayan a ser “los próximos VBA”, pero los pasos que se vieron aquí podrían ser un indicador de cosas que vendrán.

Indicadores de compromise (IoCs)

Add-ons maliciosos de Kodi

Desde que los repositorios que originalmente contenían los add-ons maliciosos (Bubbles y Gaia) fueron eliminados o limpiados, estamos proporcionando ejemplos de enlaces a repositorios similares que aún contienen código malicioso, y también enlaces de ejemplo para unos pocos builds de Kodi maliciosos elegidos de manera aleatoria.

Es importante tener presente que es muy probable que los propietarios de estas fuentes secundarias de archivos maliciosos que se detallan a continuación estén propagando estas amenazas sin siquiera saberlo.

ESET detecta ek código malicioso de Python como Python/CoinMiner.W.

ESET detecta tanto el criptominero como el módulo downloader como Win64/CoinMiner.II y/o Win64/CoinMiner.MK. Nuestra telemetría muestra más de 100 hashes distintos para los nombres de detección.

ESET detecta las versiones del criptominero y del módulo downloader para Linux como Linux/CoinMiner.BC, Linux/CoinMiner.BJ, Linux/CoinMiner.BK, y Linux/CoinMiner.CU.