Google rozbija botnet na Android TV

Google uderza w botnet ukryty w urządzeniach Android

Google wraz z partnerami rozbiło rozległy botnet oparty na certyfikowanych urządzeniach z Androidem. Sieć, nazwana XCPE, działała przez lata na sprzęcie sprzedawanym z fabrycznie przygotowanym backdoorem i obejmowała przede wszystkim Android TV set-top boxy. Występowała jednak także na innych urządzeniach, w tym sprzęcie telemedycznym, maszynach karaoke i cyfrowych tablicach informacyjnych.

Według ustaleń firma Videostrong Technology Co. z Chin miała świadomie umieszczać w swoich urządzeniach backdoor, a następnie monetyzować do niego dostęp. Zainfekowany sprzęt służył do ad fraud, kradzieży danych oraz przekierowywania złośliwego ruchu przez residential proxy networks.

Jak działał XCPE

Backdoor był wbudowywany w firmware i działał na poziomie uprawnień android.uid.system. Jeśli użytkownik próbował go usunąć, komponent potrafił odtworzyć się z partycji /oem po restarcie urządzenia. Po uruchomieniu łączył się z serwerem command-and-control (C2) i wykorzystywał MQTT do odbierania poleceń.

Dzięki temu operatorzy mogli m.in.:

• uruchamiać skrypty shell,
• wyłączać Google Play Protect,
• potajemnie instalować kolejne aplikacje i moduły malware,
• dodawać zainfekowane urządzenia do sieci proxy.

Wśród modułów instalowanych na przejętych urządzeniach znajdowały się komponenty powiązane z usługami i operatorami takimi jak Linkfog, AppSalt/Honeygain, GaGaNode, NetNut i Traffmonetizer.

Ponad milion urządzeń i globalny zasięg

Google podało, że samo jądro botnetu obejmowało ponad 1,3 miliona urządzeń. Dodatkowo działania wymierzone w infrastrukturę C2 odcięły dostęp do ponad 10 milionów kolejnych skompromitowanych urządzeń należących do różnych producentów, na których działały moduły innych rodzin malware.

Botnet działał w ponad 170 krajach. Największe skupiska zainfekowanych urządzeń wykryto w Malezji, Brazylii, Iraku, Meksyku i Tajwanie. W samych Stanach Zjednoczonych między czerwcem a październikiem wykryto niemal 44 tysiące zainfekowanych urządzeń.

Zmiana zasad po stronie Google

Po potwierdzeniu skali operacji Google zerwało współpracę z Videostrong i zablokowało firmie oraz jej przyszłym spółkom zależnym możliwość produkcji certyfikowanych urządzeń Android. Jednocześnie zmieniono wewnętrzny proces weryfikacji, aby podobne nadużycia były trudniejsze do przeprowadzenia w przyszłości.

Firma nie ujawniła szczegółów nowych zabezpieczeń, uznając, że mogłoby to pomóc atakującym obejść wprowadzone kontrole.

Problem większy niż jedna kampania

Rozbicie XCPE miało mocno uderzyć w kilkunastu operatorów przestępczych, ale jednocześnie pokazuje szerszy problem: rynek backdoorów, usług proxy i ad fraud działa jak połączony łańcuch dostaw. Gdy jeden element zostaje wyłączony, inni gracze szybko próbują zastąpić go nowymi loaderami lub innymi modelami monetyzacji.

To oznacza, że walka z takim ekosystemem nie kończy się na odcięciu pojedynczego botnetu. Kluczowe staje się monitorowanie całego łańcucha sprzętowego i usług, które pozwalają przestępcom zarabiać na przejętych urządzeniach.