Google ликвидировала ботнет из 1,3 млн Android TV приставок
Компания Google совместно с партнерами по кибербезопасности разрушила инфраструктуру ботнета XCPE, в который входили более 1,3 млн устройств. Зараженное оборудование, включая ТВ-приставки, годами распространялось китайским производителем Videostrong Technology.
Вредоносное ПО было внедрено в прошивки на этапе производства, что позволяло злоумышленникам получать системные привилегии и управлять устройствами удаленно. Производитель не только поставлял зараженные гаджеты, но и продавал доступ к ним, позволяя партнерам загружать собственные модули для рекламного мошенничества и создания резидентных прокси-сетей. Компании разорвали отношения с Videostrong, лишив их лицензии на выпуск сертифицированных Android-устройств с приложениями Google. Это решение должно лишить операторов доступа как минимум к еще 10 млн скомпрометированных устройств.
Отключение командных серверов и доменов нарушило работу ботнета, однако Google предупреждает, что угроза не исчезла полностью. Операторы могут перейти на другие загрузчики и программные модули, так как действуют в рамках связанной экосистемы. В расследовании участвовали Национальное полицейское агентство Японии, а также компании Lumen, Human Security, Plume, Synthient и TrendAI. Специалисты зафиксировали связь ботнета с IP-адресами в более чем 200 странах, включая Россию, где устройства Videostrong реализовывались через популярные торговые площадки.
Вредонос XCPE маскировался под стандартный клиент удаленного администрирования, а его компоненты обновлялись со страниц GitHub. Зараженные приставки использовались для скрытой установки приложений, отключения защитных систем Google Play Protect, сбора данных об учетных записях и перехвата нажатий клавиш. Часть модулей была связана с сервисами резидентных прокси, позволявшими перенаправлять интернет-трафик пользователей без их ведома. Google изменила процедуру проверки прошивок, чтобы затруднить повторение подобных схем обхода безопасности. Пользователям рекомендуется приобретать подключаемые к интернету устройства у проверенных производителей и избегать установки приложений, предлагающих вознаграждение за передачу неиспользуемого интернет-трафика.