Google выявила ботнет из 1,3 млн Android TV-приставок, заражённых производителями

Google и её партнёры в сфере кибербезопасности вывели из строя инфраструктуру ботнета XCPE, объединявшего более 1,3 млн телевизионных приставок и других устройств на Android. По данным Google Threat Intelligence, вредоносное ПО на протяжении многих лет предустанавливалось в прошивки оборудования китайской компании Videostrong Technology. Производитель не только распространял заражённые устройства, но и продавал доступ к ним, позволяя покупателям загружать собственные вредоносные модули.

Скомпрометированные приставки применялись для рекламного мошенничества, создания сетей резидентных прокси и распространения другого вредоносного ПО. Резидентный прокси превращает устройство обычного пользователя в промежуточный узел для стороннего интернет-трафика. Злоумышленники могут направлять через него запросы, которые внешние сервисы воспринимают как исходящие с домашнего IP-адреса владельца приставки. Некоторые модули также давали возможность удалённо выполнять команды, устанавливать приложения без ведома пользователя, создавать снимки экрана и извлекать данные.

Бэкдор XCPE встраивался непосредственно в системный раздел прошивки и получал системные привилегии Android. Если пользователь удалял его из обычного раздела приложений, вредоносная программа могла восстановиться после перезагрузки. Для связи с операторами применялся протокол MQTT: через него устройства получали команды на установку программ, выполнение сценариев и загрузку дополнительных модулей. Эта инфраструктура позволяла скрытно управлять приставками уже после их продажи.

Google сообщила, что прекратила сотрудничество с Videostrong и запретила ей, её будущим дочерним и аффилированным структурам выпускать сертифицированные Android-устройства с приложениями Google, а также поставлять ПО другим сертифицированным производителям. Кроме того, компания добилась отключения доменов и серверов, через которые управлялись XCPE и связанные с ним вредоносные модули. По оценке Google, это должно лишить операторов доступа как минимум ещё к 10 млн скомпрометированных устройств, распространённых другими участниками преступной сети.

Для обхода проверок безопасности Google производитель использовал маскировку: вредоносный код загружался только после первого запуска устройства. Google заявила, что изменила порядок проверки прошивок сертифицированных устройств Android TV, чтобы затруднить повторение подобной схемы. В расследовании участвовали Национальное полицейское агентство Японии, Lumen, HUMAN Security, Plume, Synthient и TrendAI.

При этом Google предупреждает: отключение серверов не означает, что угроза исчезла полностью. Операторы ботнетов, мошеннических рекламных схем и прокси-сетей действуют как взаимосвязанная экосистема и могут переходить на другие загрузчики и программные модули. Компания намерена продолжить борьбу с этой инфраструктурой. Пользователям же рекомендуется покупать подключаемые к интернету устройства у проверенных производителей и не устанавливать приложения, предлагающие вознаграждение за передачу неиспользуемого интернет-трафика.

Источник: iXBT