ESET-Forscher haben am 13. September 2018 in einer offiziellen Mitteilung vor manipulierten Drittanbieter-Add-ons für Kodi gewarnt. Die Erweiterungen verbreiteten laut ESET eine Schadsoftware, die auf Windows- und Linux-Rechnern unbemerkt die Kryptowährung Monero schürte.
Ausgangspunkt der Kampagne war das Repository XvMBC. Nach der Analyse von ESET gelangte der Schadcode bereits im Dezember 2017 in das Repository Bubbles und im Januar 2018 in dessen Ableger Gaia. Über Aktualisierungen und vorgefertigte Kodi-Builds konnte er anschließend weitere Installationen erreichen.
Manipuliertes Add-on lädt den Miner nach
Die ausführliche technische Analyse von ESET beschreibt ein manipuliertes Add-on namens script.module.simplejson. Die Version 3.4.1 sah für Kodi wie ein reguläres Update aus, enthielt aber eine zusätzliche Abhängigkeit. Darüber wurde weiterer Python-Code geladen, der abhängig vom Betriebssystem einen Downloader und anschließend den Monero-Miner nachlud.
Die Kampagne nutzte damit die automatische Aktualisierung von Add-ons. ESET fand Windows- und Linux-Binaries, aber keine Versionen für Android oder macOS. Als Anzeichen einer Infektion nannte das Unternehmen unter anderem eine deutlich sinkende Rechnerleistung und einen steigenden Stromverbrauch.
Xbox-One-Version wird in der ESET-Mitteilung nicht genannt
Kodi war Ende 2017 mit einer frühen UWP-Fassung auf die Xbox One zurückgekehrt, wie der damalige Bericht zur Xbox-One-Version dokumentiert. ESET bezog seine Warnung ausdrücklich auf manipulierte Add-ons und Schadcode für Windows und Linux. Eine Aussage zur UWP-Fassung auf der Xbox One enthält die Mitteilung nicht.