3
Компания Videostrong на протяжении многих лет внедряла бэкдор XCPE в прошивки своих устройств и продавала доступ к ним. Google отключила инфраструктуру управления ботнетом и надеется нарушить работу вредоносных модулей ещё на 10 миллионах устройств
Google в сотрудничестве с партнёрами по кибербезопасности ликвидировала инфраструктуру ботнета XCPE, в который входили свыше 1,3 миллиона телевизионных приставок и других устройств на платформе Android. По данным Google Threat Intelligence, вредоносное ПО на протяжении многих лет предустанавливалось в прошивки техники китайской компании Videostrong Technology. Производитель не только распространял заражённые устройства, но и предлагал платный доступ к ним, а также позволял пользователям загружать собственные вредоносные модули.
Заражённые приставки использовались для осуществления рекламного мошенничества, создания резидентных прокси-сетей и распространения дополнительного вредоносного ПО. Резидентный прокси превращал устройство обычного пользователя в промежуточный узел для чужого интернет-трафика: злоумышленники могли направлять через него запросы, которые внешние сервисы воспринимали как исходящие с домашнего IP-адреса владельца приставки. Некоторые модули также предоставляли возможность удалённо выполнять команды, устанавливать приложения без ведома пользователя, делать скриншоты и извлекать данные с устройств.
Бэкдор XCPE был интегрирован прямо в системный раздел прошивки и имел системные привилегии Android. Если пользователь удалял его из стандартного раздела приложений, вредоносная программа могла восстановиться после перезагрузки. Для связи с операторами использовался протокол MQTT, через который устройства получали команды на установку программ, выполнение сценариев и загрузку дополнительных модулей. Вредоносная инфраструктура позволяла незаметно управлять приставками даже после их продажи новым владельцам.
Google утверждает, что разорвала связи с Videostrong и запретила компании, её будущим дочерним структурам и аффилированным организациям производить сертифицированные устройства Android с приложениями Google или предоставлять программное обеспечение другим сертифицированным производителям. Компания также добилась отключения доменов и серверов, использовавшихся для управления XCPE и связанными вредоносными модулями. По оценкам Google, это должно лишить операторов доступа как минимум к ещё 10 миллионам скомпрометированных устройств, которые распространяли другие участники преступной сети.
Производитель обходил проверки безопасности Google, применяя методы маскировки: вредоносный код загружался уже после первого включения устройства. Google сообщила, что изменила процедуру проверки прошивок сертифицированных Android TV-устройств, чтобы усложнить повторение подобной схемы. В расследовании принимали участие Национальное полицейское агентство Японии, Lumen, HUMAN Security, Plume, Synthient и TrendAI.
Тем не менее Google предостерегает, что отключение серверов не означает полного устранения угрозы. Операторы ботнетов, схем рекламного мошенничества и прокси-сетей функционируют как взаимосвязанная экосистема и могут переходить на другие загрузчики и программные модули. Компания планирует продолжить борьбу с этой инфраструктурой, а пользователям рекомендует приобретать подключаемые к интернету устройства только у проверенных производителей и избегать установки приложений, предлагающих вознаграждение за передачу неиспользуемого интернет-трафика.
Источник