Режим чтения:
Главное за 30 секунд
  • Google совместно с правоохранительными органами и частными компаниями ликвидировала ботнет из более чем 1,3 млн Android-устройств.
  • Производитель устройств, Videostrong Technology Co., намеренно встроил бэкдор XCPE в прошивку и продавал доступ к нему злоумышленникам.
  • Ботнет использовался для мошенничества с рекламой и маршрутизации вредоносного трафика через пользовательские интернет-соединения в более чем 200 странах.

Масштабная операция по ликвидации ботнета XCPE

Google совместно с коалицией частных охранных фирм, включая Lumen, Human Security, Plume, Synthient и TrendAI, а также при содействии Национального полицейского агентства Японии, успешно ликвидировала ботнет XCPE. Эта сеть состояла из более чем 1,3 миллиона Android-устройств, преимущественно ТВ-приставок, расположенных более чем в 200 странах мира. Сбой в работе серверов управления произошел в конце октября.

Роль Videostrong Technology Co.

Группа Google Threat Intelligence Group (GTIG) с высокой степенью уверенности заявляет, что китайский производитель оборудования Videostrong Technology Co. из Шэньчжэня намеренно внедрил бэкдор XCPE в прошивку своих устройств, таких как домашние ТВ-приставки и проекторы. Доступ к этому бэкдору продавался криминальным группам, что позволяло им устанавливать дополнительные вредоносные модули на устройства, поставляемые ничего не подозревающим клиентам. Когда пользователи подключали эти устройства к своим домашним сетям, предварительно установленный бэкдор давал операторам возможность создавать прокси-сети и скрывать вредоносный трафик, используя интернет-соединения клиентов без их ведома.

Механизм работы бэкдора

Предварительно установленный агент управления в прошивке маскировался под стандартный клиент удаленного управления. По данным TrendAI, он загружал обновления со страницы GitHub и подключался к серверу Message Queuing Telemetry Transport (MQTT), который предоставлял оператору полный удаленный контроль над каждой приставкой. Это позволяло устанавливать и удалять приложения, изменять настройки и распространять обновления на зараженные устройства. В период с 3 июня по 1 октября TrendAI зафиксировала более 3,8 миллиона уникальных домашних и мобильных IP-адресов, подключенных к этой операции.

Последствия и дальнейшие действия

Коалиция также прервала работу доменов управления и контроля (C2), используемых для управления аффилированными модулями. По оценкам GTIG, это действие позволит прервать доступ как минимум к 10 миллионам дополнительных скомпрометированных устройств, поскольку эти аффилированные группы имеют диверсифицированные каналы распространения своих модулей, выходящие за рамки XCPE. Google заявила, что разорвала все связи с Videostrong и запретила OEM-производителю выпускать устройства с предустановленными приложениями Google.

Этот бэкдор и ботнет являются частью той же экосистемы, что и BadBox 2.0 - еще один известный ботнет, заразивший более 10 миллионов ТВ-приставок и других устройств до того, как Human, Google и TrendAI ликвидировали его в марте 2023 года. Для получения дополнительной информации о кибератаках, влияющих на массовые системы, вы можете ознакомиться с нашим материалом Новая волна кибератак вывела из строя морозильники супермаркетов Европы, уничтожив миллионы продуктов.

Что это значит на практике

Этот инцидент подчеркивает критическую важность бдительности при покупке устройств от менее известных производителей, особенно тех, что предлагают необычно низкие цены. Пользователям следует быть осторожными с устройствами, которые требуют избыточных разрешений или демонстрируют подозрительную сетевую активность. Для индустрии это означает усиление контроля и сертификации со стороны платформ, таких как Google, для предотвращения предустановки вредоносного ПО на аппаратном уровне. В свою очередь, это приведет к повышению безопасности для всей экосистемы Android.