Google раскрыла ботнет из 1,3 млн Android TV-приставок, заражённых самими производителями

Компания Videostrong годами встраивала бэкдор XCPE в прошивки устройств и продавала доступ к ним. Google отключила инфраструктуру управления ботнетом и рассчитывает нарушить работу вредоносных модулей ещё на 10 млн устройств

Google совместно с партнёрами по кибербезопасности ликвидировала инфраструктуру ботнета XCPE, в который входили более 1,3 млн телевизионных приставок и других устройств на Android. По данным подразделения Google Threat Intelligence, вредоносное ПО годами предустанавливалось в прошивки оборудования китайской компании Videostrong Technology. Производитель не просто распространял заражённые устройства, а предоставлял платный доступ к ним и позволял загружать собственные вредоносные модули.

Заражённые приставки использовались для рекламного мошенничества, создания резидентных прокси-сетей и распространения дополнительного вредоносного ПО. Резидентный прокси превращает устройство обычного пользователя в промежуточный узел для чужого интернет-трафика: злоумышленники могут направлять через него запросы, которые внешние сервисы видят как исходящие с домашнего IP-адреса владельца приставки. Некоторые модули также позволяли удалённо выполнять команды, устанавливать приложения без ведома пользователя, делать снимки экрана и извлекать данные с устройств.

Бэкдор XCPE был встроен непосредственно в системный раздел прошивки и получал системные привилегии Android. Если пользователь удалял его из обычного раздела приложений, то вредоносная программа могла восстановиться после перезагрузки. Для связи с операторами использовался протокол MQTT, через который устройства получали команды на установку программ, выполнение сценариев и загрузку дополнительных модулей. Вредоносная инфраструктура позволяла незаметно управлять приставками уже после их продажи владельцам.

Google заявляет, что разорвала отношения с Videostrong и запретила компании, её будущим дочерним структурам и аффилированным организациям выпускать сертифицированные устройства Android с приложениями Google или поставлять программное обеспечение другим сертифицированным производителям. Компания также добилась отключения доменов и серверов, использовавшихся для управления XCPE и связанными вредоносными модулями. По оценке Google, это должно лишить операторов доступа как минимум ещё к 10 млн скомпрометированных устройств, которые распространяли другие участники преступной сети.

Производитель обходил проверки безопасности Google с помощью методов маскировки: вредоносный код загружался уже после первого запуска устройства. Google сообщила, что изменила процедуру проверки прошивок сертифицированных Android TV-устройств, чтобы затруднить повторение подобной схемы. В расследовании участвовали Национальное полицейское агентство Японии, Lumen, HUMAN Security, Plume, Synthient и TrendAI.

При этом Google предупреждает, что отключение серверов не означает полного исчезновения угрозы. Операторы ботнетов, рекламных мошеннических схем и прокси-сетей работают как связанная экосистема и могут переходить на другие загрузчики и программные модули. Компания намерена продолжить работу против этой инфраструктуры, а пользователям рекомендует покупать подключаемые к интернету устройства у проверенных производителей и не устанавливать приложения, предлагающие вознаграждение за передачу неиспользуемого интернет-трафика.