Коалиция частных охранных фирм, работающих совместно с Национальным полицейским агентством Японии, пресекла работу бэкдора XCPE, использовавшегося для построения огромного ботнета, включающего более 1,3 миллиона Android-устройств в более чем 200 странах.
В нейтрализации участвовали Google, Lumen, Human Security, Plume, Synthient и TrendAI.
«С высокой степенью уверенности мы полагаем, что бэкдор и ботнет были намеренно разработаны, развернуты и эксплуатировались в целях финансовой выгоды компанией Videostrong Technology», — заявила в понедельник в своем блоге Google Threat Intelligence Group (GTIG).
Videostrong Technology — производитель аппаратного обеспечения, базирующийся в Шэньчжэне, Китай. Компания выпускает Android-устройства, включая домашние TV-приставки и проекторы. По данным Google, Videostrong намеренно встроила бэкдор XCPE в прошивку устройств и продавала доступ криминальным партнерам, позволяя им устанавливать дополнительные модули вредоносного ПО на устройства, отправленные ничего не подозревающим покупателям. Когда покупатели подключали эти устройства к своим домашним сетям, предустановленный бэкдор позволял операторам создавать прокси-сети и скрывать вредоносный трафик, используя интернет-соединения клиентов без их ведома.
Предустановленный в прошивке агент управления, по данным TrendAI, выдавал себя за стандартный клиент удаленного управления. Он получал обновления со страницы GitHub и подключался к MQTT-серверу (Message Queuing Telemetry Transport), который давал оператору полный удаленный контроль над каждой приставкой, позволяя устанавливать и удалять приложения, менять настройки и проталкивать обновления на зараженные устройства.
В период с 3 июня по 1 октября TrendAI задокументировала более 3,8 миллиона различных домашних и мобильных IP-адресов, связанных с этой операцией.
Коалиция также пресекла работу доменов управления (C2), использовавшихся для управления партнерскими модулями. «Поскольку у этих партнеров есть диверсифицированные каналы распространения своих модулей за пределами XCPE, мы полагаем, что отключение их C2-доменов прервет доступ как минимум к 10 миллионам дополнительных скомпрометированных устройств», — сообщили в GTIG.
Google заявила, что после этого разорвала связи с Videostrong и запретила OEM-производителю выпускать устройства с предустановленными приложениями Google.
Videostrong не ответила немедленно на запросы The Register.
Эта операция с бэкдором и ботнетом является частью той же экосистемы, что и BadBox 2.0 — еще одного печально известного ботнета, который заразил более 10 миллионов TV-приставок и других устройств до того, как Human, Google и TrendAI нейтрализовали его в марте 2025 года.®
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Jessica Lyons
