Google: Videostrong preinstalowało malware na 1,3 mln urządzeń z Androidem

Jak działał backdoor

Malware o nazwie xcpe było wbudowane w urządzenia już w fabryce. Po pierwszym uruchomieniu uzyskiwało uprawnienia na poziomie systemu. Według Google pozwalało instalować aplikacje bez wiedzy użytkownika, wykonywać polecenia, robić zrzuty ekranu oraz zbierać dane kont i informacji o urządzeniach. Mogło też zamieniać sprzęt w tzw. residential proxy, czyli przepuszczać cudzy ruch przez domowe łącze właściciela. Zainfekowane urządzenia służyły m.in. do oszustw reklamowych i kradzieży danych.

Choć większość stanowiły odbiorniki Android TV, malware wykryto także w sprzęcie do telemedycyny, maszynach karaoke i systemach digital signage. Kampania objęła ponad 200 krajów i trwała latami, ale Google nie wskazało konkretnych modeli.

Działania Google i partnerów

Google podjęło kroki prawne w celu zamknięcia domen i serwerów sterujących siecią, zmieniło procedury weryfikacji urządzeń i usprawnia kontrolę firmware'u w certyfikowanych urządzeniach Android TV. W operacji uczestniczyli m.in. japońska Narodowa Agencja Policji oraz Lumen, HUMAN Security, Plume, Synthient i TrendAI. Partnerzy wyłączyli też domeny serwerów C2 ponad 12 rodzin złośliwego oprogramowania, co ma ograniczyć dostęp przestępców do co najmniej 10 mln dalszych urządzeń.

Charlie Snyder z Google Threat Intelligence Group ocenia, że takie operacje podnoszą koszty działalności przestępczej. Google radzi kupować sprzęt podłączany do sieci, w tym odbiorniki TV, od zaufanych producentów. Wcześniej niemieckie władze zablokowały sieć BadBox, a o botnecie Vo1d pisano, że zainfekował ok. 1,6 mln telewizorów z Androidem.