A Google leállította az 1,3 millió Android TV-n futó x.cpe botnetet
A Google Threat Intelligence Group leállította az x.cpe nevű botnetet, amely csúcsidőben több mint 1,3 millió Google-tanúsítvánnyal rendelkező Android TV-készüléken futott. A szűrés a Shenzhenben működő Videostrong Technology obfuszkációs technikái miatt nem szúrta ki a kártevőt. A cég többnyire MECOOL márkanév alatt forgalmazott, kompromittált dobozai a tanúsítás után, online állapotban, távoli hátsó ajtón telepítették a szoftvert. A kezdetben egylépcsős dropper gyorsan moduláris, háromfázisú platformmá nőtt, amelyen keresztül harmadik feleknek is eladták a hozzáférést.
Bekapcsolás után egy x.cpe, illetve com.oemservice nevű csonk alkalmazás jelentkezett be a vezérlőhöz. Magában nem volt kártékony, de rendszerszintű jogosultsággal telepíthetett modulokat, és kikapcsolta a Play Protectet. A készülékek többsége lakossági proxyt futtatott nagy mennyiségű gyanús forgalomhoz, vagy reklámcsaló sémákat. A Videostrong teljes hozzáféréssel terminálparancsokat adott ki, képernyőt rögzített, és a helyi hálózat más eszközeit is fürkészte; a Google szerint ezt élőben is látták.
A Google Japán nemzeti rendőrségével, a Synthienttel és a Trend Microval együtt jogi lépésekkel záratta le a domaineket és a szervereket, köztük más kampányokhoz kötött C2-csomópontokat is. Becslésük szerint a Videostrong körülbelül 10 millió kompromittált eszköztől szakadt el. Az érintett tévék használhatók, de a Play Protect továbbra is ki van kapcsolva, az inaktív modulok rendszerszintű alkalmazásként bent maradnak, a felhasználó nem tudja őket egyszerűen eltávolítani. A Synthient 182 modellnevet listázott; a Trend Micro 1 472 554 fertőzött eszközt számolt, Google-énál magasabb adatot. A túlnyomó többség Brazíliában, Malajziában, Irakban, Mexikóban és Tajvanon volt, de több tízezer gép az Egyesült Államokban, Németországban, az Egyesült Királyságban, Ausztráliában és Kanadában is online volt.
A Google megállapította, hogy nem magányos szereplő műve volt, ezért megszakította a kapcsolatot a Videostronggal és leányvállalataival: nem használhatják a Google Android-alkalmazásait és szolgáltatásait. A tanúsítási folyamatot is szigorítják. Az Android nyílt forráskódú, tanúsítatlan TV-boxok továbbra is kaphatók, a Videostrong más márkanév alatt, Google-alkalmazások nélkül is árulhat kártékony hardvert, de a kártevő-infrastruktúrát elölről kellene felépítenie.
Folytasd az appban — szavazz és szólj hozzá ➔