Google вимкнула ботнет у 1,3 млн приставок Android TV

Команда Google Threat Intelligence Group вимкнула ботнет x.cpe, який у піковий момент працював на понад 1,3 млн пристроїв Android TV. Особливість історії в тому, що це були приставки із сертифікатом Google.

Масштаб і географія

Trend Micro нарахувала 1 472 554 заражених пристроїв, трохи більше за оцінку Google. Переважна більшість була в Бразилії, Малайзії, Іраку, Мексиці й на Тайвані. Десятки тисяч працювали також у США, Німеччині, Британії, Австралії та Канаді.

Synthient опублікувала перелік зі 182 назв моделей, які входили до ботнету. Перевірити його радять власникам приставок MECOOL і безіменних збірок на Android TV.

Що робили заражені приставки

Більшість пристроїв працювали як резидентні проксі, через які пропускали великі обсяги недобросовісного трафіку, або виконували модулі для рекламного шахрайства. Продаж доступу до ботнету, ймовірно, був великим бізнесом.

Videostrong мала до пристроїв повний доступ. Оператори могли запускати термінальні команди, знімати екран і досліджувати інші пристрої в локальній мережі. За повідомленнями, Google спостерігала, як Videostrong робила це наживо.

Чому сертифікація нічого не помітила

Виробники мусять сертифікувати пристрої, якщо хочуть мати застосунки й бренд Google. Така перевірка має ловити подібні загрози. За словами Google, її процес пропустив шкідливе ПЗ через «obfuscation techniques», тобто прийоми маскування, які застосувала шеньчженська Videostrong Technology.

Приставки цієї компанії, здебільшого продані під брендом MECOOL, не містили шкідливого коду на момент перевірки. Його встановлювали віддалено через бекдор уже після того, як пристрій налаштували й підключили до мережі.

Спершу на приставці з'являвся застосунок-заглушка x.cpe, він же com.oemservice, і «виходив на зв'язок». Власних шкідливих функцій він не мав. Проте мав системні дозволи, потрібні, щоб за командою оператора ставити шкідливі модулі. Ще він вимикав Play Protect, який інакше позначив би приховані пакети як шкідливі.

За даними блогу Google, ботнет швидко розвинувся від одноетапного дропера до модульної триетапної платформи. Її доступ продавали третім сторонам.

Що зробила Google

До зупинки мережі долучилися Національне поліцейське агентство Японії, Synthient і Trend Micro. Google вжила судових заходів, щоб відключити домени й сервери, якими Videostrong керувала та встановлювала шкідливе ПЗ. Компанія також атакувала командні сервери виробника, пов'язані з іншими кампаніями. За її оцінкою, Videostrong відрізали приблизно від 10 мільйонів скомпрометованих пристроїв.

Google визначила, що це не робота окремого зловмисника, тому розірвала стосунки з Videostrong. Компанії та її дочірнім фірмам заборонено використовувати застосунки й сервіси Android від Google. Крім того, Google оновлює процес сертифікації, щоб закрити лазівку, яка дозволила ботнету працювати на сертифікованих пристроях.

Ці дії мають зробити заражені приставки безпечними для користування, але, ймовірно, не настільки, наскільки слід. Play Protect досі вимкнений, а знешкоджені модулі залишилися. Вони встановлені як системні застосунки, тому користувач не може легко їх видалити.

Android відкритий, а несертифікованих приставок на ньому безліч. Videostrong може й далі продавати шкідливу техніку під іншими брендами, але без застосунків Google. Операцію їй довелося б будувати заново.

Наш погляд

Найслабше місце історії в тих, хто вже купив приставку. Домени вимкнено, але модулі та вимкнений Play Protect лишилися, і джерело не каже, як їх прибрати. Неясно й те, чи сертифікація тепер справді ловитиме такі прийоми. Це питання лишається відкритим.

Джерело: Google Cloud Blog