Google ugasio mrežu kompromitovanih Android TV uređaja
Google je krajem oktobra preuzeo kontrolu nad domenima i serverima botneta koji je obuhvatio više od 1,3 miliona Android uređaja, mahom TV set-top boksova. Kompanija navodi da je sa visokim stepenom pouzdanosti proizvođač Videostrong namerno ugradio pozadinska vrata x.cpe i kriminalcima prodavao pristup uređajima.
Operacija je obuhvatila i komandno-kontrolne domene više od deset porodica malvera koje su učitavane kroz pozadinska vrata. Google očekuje da će prekid infrastrukture ograničiti pristup napadača i najmanje 10 miliona dodatnih zaraženih uređaja, jer su se pojedini moduli širili i drugim kanalima.
Pozadinska vrata u firmveru
Komponenta x.cpe radila je kao sistemska aplikacija u firmveru, sa sistemskim privilegijama. Javljala se komandno-kontrolnim serverima i čekala naloge, a pre tihog instaliranja softvera isključivala je provere aplikacija u servisu Google Play Protect.
Prema Googleovoj analizi, operateri su mogli da instaliraju aplikacije bez znanja vlasnika, izvršavaju komande, snimaju ekran i mapiraju mrežu na koju je uređaj povezan. Zabeleženi su snimci ekrana uživo, slanje unosa sa tastature, preuzimanje podataka o nalozima, uređajima, aplikacijama i sistemskim zapisima, kao i otvaranje reverznih komandnih ljuski.
Većina dodatnih modula koristila je uređaje kao rezidencijalne proksije ili za prodaju njihovog neiskorišćenog internet protoka. Takav proksi saobraćaj prikazuje se kao da dolazi iz običnog domaćinstva. Drugi moduli služili su za lažiranje pregleda internet oglasa.
Obim i pogođeni modeli
TrendAI je između 3. juna i 1. oktobra izbrojao 1.472.554 pogođena uređaja u 206 modela i ocenio da stvarni broj nije manji od tog nalaza. Najviše uređaja registrovano je u Maleziji, Brazilu, Iraku, Meksiku i Tajvanu, dok su SAD, Nemačka, Ujedinjeno Kraljevstvo, Australija i Kanada imale približno 26.000 do 42.000 uređaja svaka.
Pored Android TV prijemnika, x.cpe je pronađen na uređajima za telezdravstvo, karaoke uređajima i digitalnim displejima. Synthient je objavio listu od 182 naziva modela povezanih s kampanjom, uz napomenu da naziv modela sam po sebi nije potvrda infekcije. Njegovo istraživanje posebno povezuje uređaje brenda MECOOL sa Videostrongom.
Zašto resetovanje možda nije dovoljno
Pošto je x.cpe ugrađen u firmver, njegovo uklanjanje nije trajno: komponenta se ponovo instalira nakon restarta. TrendAI navodi da je aplikacija potpisana ključem proizvođača, pa je za potpuno otklanjanje potrebna akcija dobavljača, zaštita platforme ili zamena uređaja. Plume preporučuje potpuno vraćanje na fabrička podešavanja zbog mogućih dodatnih pozadinskih vrata, ali ne tvrdi da takav postupak uklanja sam x.cpe.
Google je prekinuo saradnju sa Videostrongom i zabranio kompaniji, budućim zavisnim društvima i povezanim licima da proizvode ili prodaju sertifikovane Android uređaje, kao i da isporučuju softver drugim sertifikovanim proizvođačima. Navodi i da je Videostrong prikrio kod kako bi zaobišao prazninu u postupku testiranja, nakon čega je Google promenio proces provere i unapređuje kontrolu firmvera sertifikovanih Android TV uređaja.
Praktičan zaključak za organizacije
Organizacije treba da identifikuju MECOOL i slične uređaje u mreži pomoću objavljenih indikatora, izdvoje ih iz upotrebe i blokiraju navedene domene i IP adrese. Pametne uređaje treba segmentirati od osetljivih sistema, a pristup poslovnim resursima zaposlenih na daljinu držati iza upravljanih uređaja. Ovaj slučaj potvrđuje da potrošački uređaj na kućnoj mreži može biti deo poslovne napadne površine i da nabavka, segmentacija i upravljanje takvim uređajima moraju biti bezbednosni prioritet.