Verschillende uitbreidingen voor de populaire mediaspeler Kodi verspreiden malware voor Linux en Windows, zo waarschuwen onderzoekers van anti-virusbedrijf ESET. Nederland is één van de landen waar de meeste infecties zijn aangetroffen.

De Kodi-mediaspeler biedt gebruikers de mogelijkheid om allerlei uitbreidingen toe te voegen. Dit kan via een officiële locatie, alsmede repositories van derde partijen. Via twee repositories genaamd Bubbles en Gaia zijn uitbreidingen verspreid die van een cryptominer zijn voorzien en zowel Linux- als Windows-systemen naar de cryptocurrency Monero kunnen laten delven.

Inmiddels zijn beide repositories offline. Onderzoekers stellen dat nietsvermoedende slachtoffers de malware nog steeds op hun systeem hebben kunnen draaien. Daarnaast is de malware nog steeds aanwezig in andere repositories en in een aantal Kodi-builds. Op dit moment zouden nog ruim 4700 systemen met de cryptominer zijn besmet, die de criminelen achter de operatie zo'n 5700 euro heeft opgeleverd.

De meeste infecties zijn in de Verenigde Staten, Israël, Griekenland, Groot-Brittannië en Nederland waargenomen. Kodi-gebruikers die uitbreidingen van third-party repositories of een "ready-made" Kodi build gebruikmaken krijgen het advies om hun systeem met anti-virussoftware te scannen. ESET heeft zogeheten Indicators of Compromise gepubliceerd waarmee gebruikers ook kunnen kijken of ze de malware hebben binnengehaald. Het gaat onder andere om hashes van de kwaadaardige uitbreidingen.