Google зупинила ботнет XCPE на понад 1,3 млн Android TV-пристроїв
Google зупинила ботнет XCPE на понад 1,3 млн Android TV-пристроїв і припинила співпрацю з виробником Videostrong.
Google разом із партнерами з кібербезпеки зупинила роботу ботнету XCPE, який охоплював понад 1,3 млн телевізійних приставок і пристроїв для потокового мовлення на Android TV. Компанія заявила, що виробник Videostrong Technology Co навмисно вбудовував у пристрої стійкий бекдор і продавав доступ до них злочинним партнерам. Про це повідомляє BleepingComputer.
Google припинила співпрацю з Videostrong, відкликала її ліцензію на виробництво Android TV-пристроїв із попередньо встановленими застосунками та сервісами Google. Компанії та її майбутнім афілійованим структурам також заборонили виготовляти сертифіковані Android-пристрої або постачати програмне забезпечення сертифікованим виробникам.
Можливості шкідливого ПЗ
За даними Google Threat Intelligence Group, головні компоненти бекдору працювали із системними привілеями Android. Після запуску заражений пристрій зв’язувався з керувальними серверами та отримував команди через MQTT-брокер. Оператори могли непомітно завантажувати й встановлювати інші застосунки, вимикати Google Play Protect, виконувати системні команди, робити знімки екрана, збирати дані про облікові записи, пристрій і встановлені програми.
Google стверджує, що пристрої використовували для рекламного шахрайства, а також як резидентські проксі — для маршрутизації стороннього інтернет-трафіку без відома власників. На заражені пристрої також встановлювали модулі інших операторів і додаткові бекдори.
Відключення інфраструктури
Під час операції Google відключила сервери керування XCPE, якими користувалися понад десяток пов’язаних сімейств шкідливого ПЗ. Це, за оцінкою компанії, позбавило операторів доступу ще щонайменше до 10 млн скомпрометованих пристроїв. Серед них були роздрібні приставки, караоке-машини та обладнання для телемедицини; не всі ці пристрої працювали на Android.
У координації операції брали участь Національне поліцейське агентство Японії та компанії Lumen, HUMAN Security, Plume, Synthient і TrendAI. Google зазначила, що шкідливе ПЗ не видалено із вже заражених пристроїв: після видалення воно може автоматично відновлюватися з розділу /oem/. Для усунення зараження потрібне встановлення чистої прошивки або відключення пристрою від інтернету.
