Google нарушила работу ботнета из 1,3 млн Android-устройств
Google сообщила о нарушении работы ботнета, охватившего более 1,3 млн Android-устройств, в основном ТВ-приставок. Компания через судебные меры добилась отключения доменов и серверов управления и заявила, что китайский производитель Videostrong намеренно встроил бэкдор x.cpe в прошивки нескольких моделей и брендов.
По оценке TrendAI, с 3 июня по 1 октября было выявлено 1 472 554 заражённых устройства на 206 моделях. Больше всего таких устройств обнаружили в Малайзии, Бразилии, Ираке, Мексике и на Тайване. Бэкдор также нашли в устройствах для телемедицины, караоке-машинах и системах цифровых вывесок.
Системный доступ и скрытая установка программ
x.cpe работал как системное приложение в прошивке и обладал системными привилегиями. После связи с управляющими серверами он ожидал команд операторов. Для скрытой установки программ бэкдор сначала отключал проверки Google Play Protect.
Google наблюдала, как операторы получали снимки экрана, отправляли нажатия клавиш, извлекали сведения об учётных записях, устройстве, списках приложений и системных журналах. Также применялись reverse shell — удалённые командные оболочки. Загружаемые через x.cpe модули превращали устройства в residential-прокси либо использовали их пропускную способность; отдельные компоненты имитировали просмотры рекламы.
Почему удалить бэкдор непросто
Поскольку x.cpe встроен в прошивку, самостоятельное удаление не даёт устойчивого результата: после перезагрузки он восстанавливается. TrendAI указывает, что системное приложение подписано ключом производителя, поэтому для очистки необходимы действия поставщика, защита платформы или замена устройства.
Synthient опубликовала перечень из 182 названий моделей, замеченных в кампании, подчеркнув, что одно лишь название модели не подтверждает заражение. Исследователи приобрели MECOOL KM9PRO Max и обнаружили предустановленный бэкдор. Plume рекомендует полный сброс настроек, поскольку дополнительные модули могли установить другие бэкдоры, но не утверждает, что сброс удалит сам x.cpe.
Меры Google и действия организаций
Google разорвала отношения с Videostrong и запретила компании, её будущим дочерним и связанным структурам выпускать либо продавать сертифицированные Android-устройства, а также поставлять ПО другим сертифицированным производителям. Компания сообщила, что Videostrong скрывала код, обходя пробел в процедурах проверки, а вредоносный компонент загружался после первого запуска устройства. Google изменила процесс проверки и усиливает контроль прошивок сертифицированных Android TV.
Одновременно были отключены управляющие домены более десятка семейств вредоносного ПО, доставлявшегося через бэкдор. Google ожидает, что это перекроет злоумышленникам доступ как минимум к 10 млн дополнительных заражённых устройств, хотя распространители вредоносных компонентов используют и другие каналы.
Для компаний практический вывод — искать в сети MECOOL и схожие устройства по опубликованным индикаторам, отключать и заменять обнаруженные устройства, блокировать известные домены и IP-адреса управления. Умные устройства стоит отделять от критических систем сетевой сегментацией, а корпоративный доступ сотрудников из дома оставлять за управляемыми устройствами.