Ваш купон на скидку:
Специалисты Google Threat Intelligence совместно с партмярами по кибербезопасности ликвидировали инфраструктуру ботнета XCPE. В эту сеть входили более 1,3 млн телевизионных приставок и других устройств на Android. В расследовании также участвовали Национальное полицейское агентство Японии, Lumen, HUMAN Security, Plume, Synthient и TrendAI.
Как выяснилось, вредоносное ПО годами предустанавливалось в прошивки оборудования китайской компании Videostrong Technology. Производитель не просто распространял зараженные устройства, а предоставлял платный доступ к ним и позволял загружать собственные вредоносные модули. Бэкдор XCPE был встроен непосредственно в системный раздел прошивки и получал системные привилегии Android. Если пользователь удалял его из обычного раздела приложений, вредоносная программа могла восстановиться после перезагрузки. Для связи с операторами использовался протокол MQTT, через который устройства получали команды на установку программ, выполнение сценариев и загрузку дополнительных модулей, а вредоносная инфраструктура позволяла незаметно управлять приставками уже после их продажи владельцам. Производитель обходил проверки безопасности Google с помощью методов маскировки, при которых вредоносный код загружался уже после первого запуска устройства.
Зараженные приставки использовались для рекламного мошенничества, создания резидентных прокси-сетей и распространения дополнительного вредоносного ПО. Резидентный прокси превращает устройство обычного пользователя в промежуточный узел для чужого интернет-трафика, позволяя злоумышленникам направлять через него запросы, которые внешние сервисы видят как исходящие с домашнего IP-адреса владельца приставки. Некоторые модули также позволяли удаленно выполнять команды, устанавливать приложения без ведома пользователя, делать снимки экрана и извлекать данные с устройств.
В ответ на выявленные нарушения Google разорвала отношения с Videostrong и запретила компании, ее будущим дочерним структурам и аффилированным организациям выпускать сертифицированные устройства Android с приложениями Google или поставлять программное обеспечение другим сертифицированным производителям. Корпорация также добилась отключения доменов и серверов, использовавшихся для управления XCPE и связанными вредоносными модулями, и изменила процедуру проверки прошивок сертифицированных Android TV-устройств, чтобы затруднить повторение подобной схемы. По оценке Google, отключение серверов должно лишить операторов доступа как минимум еще к 10 млн скомпрометированных устройств, которые распространяли другие участники преступной сети.
При этом Google предупреждает, что отключение серверов не означает полного исчезновения угрозы, так как операторы ботнетов, рекламных мошеннических схем и прокси-сетей работают как связанная экосистема и могут переходить на другие загрузчики и программные модули. Компания намерена продолжить работу против этой инфраструктуры. Пользователям рекомендуют покупать подключаемые к интернету устройства у проверенных производителей и не устанавливать приложения, предлагающие вознаграждение за передачу неиспользуемого интернет-трафика.