Google ликвидировала масштабный ботнет на 1,3 млн приставок Android TV
Google ликвидировала ботнет XCPE, заразивший более 1,3 млн приставок Android TV, включая бренды MECOOL в Израиле. Китайский производитель Videostrong обходил проверки для слежки и проксирования трафика.
Компания Google объявила о ликвидации масштабной бот-сети XCPE, затронувшей более 1,3 миллиона телевизионных приставок на базе операционной системы Android TV, включая популярные медиаплееры марки MECOOL, активно продающиеся в Израиле. По данным группы анализа угроз Google, за этой операцией стоит китайская компания Videostrong Technology из Шэньчжэня. Выступая производителем оборудования под различными брендами, включая MECOOL, компания сумела обойти официальные процедуры проверки и сертификации Google с помощью передовых методов маскировки.
Скрытая установка и бэкдоры
Вместо того чтобы встраивать вредоносное ПО непосредственно в прошивку, проверяемую системами Google на этапе сертификации, производитель задействовал скрытый компонент под названием x.cpe или com.oemservice. Данный модуль активировал бэкдор лишь после первого включения и настройки устройства пользователем. В дальнейшем приложение принудительно отключало защитный механизм Google Play Protect, блокируя любые системные предупреждения о несанкционированной установке сторонних программ.
Проведенное расследование показало, что инфицированные устройства использовались злоумышленниками в качестве домашних прокси-серверов для маршрутизации сомнительного интернет-трафика и проведения различных рекламных мошеннических операций. Более того, китайский производитель обладал полноценным удаленным доступом к скомпрометированным приставкам. Управляющие сервера могли выполнять команды терминала, делать снимки экрана, перехватывать вводимые пользователем данные и учетные записи, создавать reverse shell и сканировать домашнюю сеть. Анализ данных командных серверов подтвердил, что все эти функции активно применялись на практике.
Последствия и меры безопасности
Во взаимодействии с японской полицией и ведущими компаниями в сфере кибербезопасности, включая Lumen, HUMAN Security, Plume, Synthient и TrendAI, корпорация Google заблокировала домены и серверы управления бот-сети. Одновременно с этим Google расторгла все партнерские соглашения с Videostrong Technology и отозвала у нее официальные лицензии на использование сервисов. На данный момент стримеры MECOOL отключены от вредоносных серверов, однако эксперты предупреждают, что бэкдор x.cpe глубоко интегрирован в прошивку устройств, обладает системными привилегиями и автоматически восстанавливается после каждой перезагрузки, не оставляя пользователям простых способов удаления.
