Google разорвала связи с Videostrong из-за бэкдора в 1,3 млн Android-устройств

Как работал x.cpe

Вредоносная программа x.cpe присутствовала на устройствах с момента выхода с завода. Чтобы обойти проверки безопасности при сертификации, она подгружала вредоносный код только после первого запуска. Если пользователь удалял её, после перезагрузки она устанавливалась снова, а также могла отключать Google Play Protect. На её основе Videostrong создала ботнет XCPE.

Злоумышленники могли удалённо делать снимки экрана, отправлять нажатия клавиш, а также выводили данные учётных записей и системные журналы. Videostrong продавала доступ к бэкдору сторонним участникам, которые удалённо устанавливали собственное вредоносное ПО. Чаще всего устройства превращали в «резидентные прокси»: домашнее соединение без ведома владельца передавало чужой трафик. Встречались устройства с тремя прокси-программами одновременно. Также выявлены накрутка рекламных просмотров и установка дополнительного вредоносного ПО.

Операция против ботнета

На последней неделе октября Google совместно с национальным полицейским агентством Японии, а также Lumen, HUMAN Security, Plume, Synthient и TrendAI нарушила работу XCPE. Юридические меры приняты в отношении серверов и доменов, управлявших ботнетом и распространявших вредоносное ПО, а также доменов, отправлявших команды дополнительным вредоносным программам.

Поскольку эти программы распространялись и другими путями, Google рассчитывает лишить злоумышленников доступа как минимум к 10 млн устройств, заражённых иным способом. Компания также намерена пересмотреть процесс проверки и усилить контроль прошивок сертифицированных Android TV-устройств на наличие вредоносного кода.