Более 1,3 миллиона устройств на базе Android, в основном ТВ-приставок, потеряли контроль над своими серверами в конце октября в результате операции, проведенной Google. Как сообщает Google, компания уверена, что производитель устройств Videostrong намеренно установил бэкдор в устройства и продал доступ к нему злоумышленникам. Эти устройства использовались для мошенничества с рекламой и для перенаправления трафика других пользователей через домашние сети владельцев. Бэкдор по-прежнему присутствует в устройствах, и владельцы не могут удалить его самостоятельно.
Videostrong, базирующаяся в Шэньчжэне, Китай, производит ТВ-приставки на Android и другие устройства под собственным брендом и для других компаний. Бэкдор под названием x.cpe встраивался во многие модели устройств и бренды на протяжении нескольких лет. Google не считает, что в этом виноват недобросовестный сотрудник или ошибка.
Google применила юридические меры для вывода из строя доменов и серверов, управлявших ботнетом. Также были выведены из строя управляющие домены более десятка семейств вредоносных программ, загруженных через бэкдор. В операции с Google сотрудничали Национальное полицейское агентство Японии, Lumen, HUMAN Security, Plume, Synthient и TrendAI.
Поскольку преступники, стоящие за этими вредоносными программами, распространяли их и другими способами, Google ожидает, что эта операция перекроет им доступ как минимум к 10 миллионам дополнительных зараженных устройств. Компания предупреждает, что операторы бэкдора и преступники, покупающие у них доступ, быстро переключаются на новые инструменты, когда одна часть их инфраструктуры нарушается.
Google разорвала связи с Videostrong. Компания запретила Videostrong, а также любым ее будущим дочерним или аффилированным компаниям, создавать или продавать сертифицированные устройства Android и поставлять программное обеспечение другим сертифицированным производителям устройств.
Согласно анализу Google, бэкдор x.cpe работает как системное приложение внутри прошивки с системным доступом. Он сообщает серверам управления и контроля (C2) ботнета и ожидает приказов. Для бесшумной установки программ он сначала отключает проверки приложений в Google Play Protect, встроенной функции безопасности Android.
Через бэкдор операторы ботнета могли устанавливать приложения без ведома владельца, выполнять команды, делать снимки экрана и картировать сеть, к которой подключена приставка. Google заявляет, что наблюдала, как операторы Videostrong использовали некоторые из этих возможностей. Они делали снимки экрана в реальном времени, перехватывали нажатия клавиш, копировали учетные данные, информацию об устройстве, списки приложений и системные журналы, а также открывали обратные оболочки, которые предоставляют удаленный доступ к командной строке приставки.
Большинство модулей, загружаемых через бэкдор, превращали приставки в резидентные прокси или продавали их неиспользуемую пропускную способность. Сервис резидентных прокси продает доступ к домашнему интернет-соединению, чтобы трафик клиента выглядел исходящим из обычного домохозяйства. Другие модули имитировали просмотры онлайн-рекламы.
Большинство зараженных устройств — это ТВ-приставки на Android, но бэкдор также был обнаружен на устройствах для телемедицины, караоке-машинах и цифровых вывесках.
TrendAI, подразделение корпоративного бизнеса Trend Micro, насчитало 1 472 554 зараженных устройства в 206 моделях в период с 3 июня по 1 октября и утверждает, что реальное число как минимум не ниже. Наибольшее количество устройств было обнаружено в Малайзии, Бразилии, Ираке, Мексике и на Тайване. В США, Германии, Великобритании, Австралии и Канаде было примерно от 26 000 до 42 000 устройств.
Synthient, отслеживающая прокси-сети и ботнеты, опубликовала список из 182 наименований моделей устройств, замеченных в кампании. Список предупреждает, что одно только название модели не подтверждает заражение приставки. Отчет Synthient фокусируется на приставках марки MECOOL, которые компания связывает с Videostrong. Synthient приобрела приставку MECOOL KM9PRO Max и обнаружила предустановленный бэкдор. Plume, производитель Wi-Fi программного обеспечения для интернет-провайдеров, обнаружил более десятка различных устройств, использующих управляющий сервер ботнета, большинство из них от MECOOL.
Поскольку x.cpe является частью прошивки, его удаление неэффективно. Он переустанавливается при перезагрузке приставки. TrendAI сообщает, что бэкдор работает как системное приложение, подписанное ключом производителя, поэтому для его удаления требуется “действие со стороны поставщика, защита платформы или замена устройства”. Plume рекомендует полный сброс до заводских настроек, поскольку модули могли установить дополнительные бэкдоры, но не уточняет, удаляет ли сброс сам x.cpe. Synthient идет дальше, советуя потребителям полностью избавиться от приставок, поскольку они представляют высокий риск вредоносного ПО.
Для организаций Synthient рекомендует следующие шаги:
TrendAI советует компаниям с удаленными сотрудниками рассматривать неуправляемые потребительские устройства в домашних сетях как часть своей поверхности атаки и держать корпоративный доступ за управляемыми устройствами.
По данным Google, x.cpe передает настройки с сервера C2 другим приложениям Videostrong, включая потоковый плеер YokaTV Player. Один из аккаунтов GitHub, на котором размещались пакеты ботнета, называется yf-videostrong.
Synthient, сотрудничавшая с Google, также с высокой степенью уверенности пришла к выводу, что операцией управляет Videostrong. Компания ссылается на документ, подписанный директором по исследованиям и разработкам Videostrong, найденный в открытой папке на одном из серверов ботнета, и на веб-домен Videostrong, который использует тот же IP-адрес, что и панель управления операторов.
Plume обнаружила, что Videostrong поставляет как прошивки для этих устройств, так и инструменты для удаленного управления ими.
Google требует, чтобы производители устройств проходили ряд тестов на совместимость и безопасность. Компания заявляет, что Videostrong скрыла свой код, чтобы обойти пробел в этих тестах, и загрузила вредоносный код после первой загрузки устройства.
Google изменила процесс проверки и улучшает проверку прошивок на сертифицированных устройствах Android TV.
По состоянию на 2 ноября на собственном веб-сайте Videostrong были перечислены продукты, которые компания называет “Google Certified Android TV Box” и “Google Certified Android TV Stick”.
Plume сообщает, что ботнет включал как сертифицированные Google устройства, так и устройства, работающие на базе Android Open Source Project (AOSP). В отчете Google не указано, сколько сертифицированных устройств было затронуто.
Когда Google подала иск против 25 китайских компаний в июле 2025 года по делу о ботнете BadBox 2.0, более 10 миллионов задействованных устройств были несертифицированными.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Swati Khandelwal
