Google зупинила ботнет на понад 1,3 млн Android TV-пристроїв
Google зупинила ботнет x.cpe, що працював на понад 1,3 млн Android TV-пристроїв, і розірвала співпрацю з Videostrong.
Google повідомила про ліквідацію ботнету x.cpe, який у піковий період працював більш ніж на 1,3 млн пристроїв Android TV. Компанія розірвала співпрацю з виробником Videostrong Technology із Шеньчженя, пристрої якого, переважно під брендом MECOOL, були сертифіковані Google, але містили механізм віддаленого встановлення шкідливого програмного забезпечення.
Як повідомляє Ars Technica, група Google Threat Intelligence встановила, що шкідливе ПЗ еволюціонувало від одностадійного завантажувача до модульної платформи з трьома етапами роботи. Доступ до інфікованої мережі, за даними Google, продавався стороннім особам.
Як працював шкідливий компонент
Після підключення пристрою до інтернету застосунок x.cpe або com.oemservice зв’язувався з серверами операторів. Сам цей компонент не мав шкідливих функцій, однак володів системними дозволами для встановлення модулів на вимогу операторів. Він також вимикав Play Protect, який за інших обставин мав би позначати непомітно встановлені пакети як шкідливі.
Більшість уражених пристроїв, за оцінкою Google, використовувалися як резидентські проксі для переспрямування великих обсягів шкідливого трафіку або для схем рекламного шахрайства. Компанія також заявила, що Videostrong мала повний доступ до пристроїв: оператори могли виконувати команди в терміналі, захоплювати зображення з екрана та перевіряти інші пристрої в локальній мережі.
Блокування інфраструктури
Google діяла спільно з Національним поліцейським агентством Японії, Synthient і Trend Micro. Компанія повідомила про юридичні заходи для закриття доменів і серверів, які Videostrong використовувала для роботи та встановлення шкідливого ПЗ, а також серверів управління, пов’язаних з іншими кампаніями.
За підрахунками Google, Videostrong втратила доступ приблизно до 10 млн скомпрометованих пристроїв. Водночас на уражених пристроях можуть залишатися неактивні модулі, а Play Protect досі може бути вимкненим. Оскільки ці компоненти завантажені як системні застосунки, користувачам нелегко їх видалити.
Synthient оприлюднила перелік зі 182 назв моделей, пов’язаних із ботнетом. Trend Micro нарахувала 1 472 554 заражені пристрої; найбільше їх було в Бразилії, Малайзії, Іраку, Мексиці та Тайвані. Google заявила, що оновлює процедуру сертифікації, а Videostrong та її дочірнім структурам заборонено користуватися застосунками й сервісами Google.
