Google вместе с партнерами отключила бэкдор XCPE, который объединил в ботнет более 1,3 млн ТВ-приставок. Об этом сообщила корпорация. По ее оценке, вредоносное ПО много лет намеренно встраивала в устройства компания Videostrong Technology — производитель Android-техники по контракту (OEM и ODM).
На зараженных приставках зарабатывали так: продавали доступ преступным партнерам и загружали их модули. Те показывали невидимую рекламу, делали технику узлом домашних прокси-сетей и ставили новое вредоносное ПО. Отключение командных серверов этих модулей, по данным Google, отрезало злоумышленников как минимум от 10 млн других зараженных устройств.
Сам XCPE (в части прошивок — com.oemservice) жил в системном разделе, работал с правами android.uid.system и после удаления сам восстанавливался при перезагрузке. Команды он получал по протоколу MQTT — легковесному протоколу для устройств с медленным интернетом. Через него операторы ставили приложения без ведома владельца, выполняли команды оболочки, снимали скриншоты и выгружали данные.
Чтобы обойти защиту, вредонос отключал проверку приложений Google Play Protect. В ботнет попали и телемедицинские терминалы, караоке-машины и цифровые вывески, а заражения охватили весь мир. Google заявила, что это не ошибка разработчика и не действия одного сотрудника: производитель использовал обфускацию, чтобы обойти тесты и подгрузить код уже после первой загрузки. Корпорация разорвала отношения с Videostrong, запретила ей и будущим «дочкам» выпускать сертифицированные Android-устройства, подала иски против доменов и серверов ботнета и изменила проверку целостности прошивок на Android TV.
В расследовании участвовали Национальное полицейское агентство Японии, Lumen, HUMAN Security, Plume, Synthient и TrendAI. Google предупредила, что точечные рейды проблему не решают: участники этой цепочки быстро переключаются на новые схемы. Пользователям советуют осторожнее ставить приложения, которые обещают деньги за «неиспользуемый интернет»: так растут нелегальные прокси-сети. Приставки стоит покупать у проверенных производителей, сверяясь со списком партнеров Android TV, и держать включенным Google Play Protect.
Ранее мы рассказывали, как вирус в прошивке заражал Android-смартфоны на чипах MediaTek, а писали о том, какие данные о владельцах собирают смарт-телевизоры.
Источник новости: hi-tech.mail.ru
