Több mint 1,3 millió tévés boxot kötött botnetbe az XCPE
A készülék gyári szoftverébe épített hátsó ajtó újraindítás után visszatelepülhet, hiába törli a tulajdonos. A Google és partnerei felszámolták az XCPE hálózatát, amelyhez több mint 1,3 millió set-top box tartozott.
A Google a gyártót teszi felelőssé
A Google Threat Intelligence Group nagy bizonyossággal állítja, hogy az XCPE-t a Videostrong Technology szándékosan fejlesztette, telepítette és működtette anyagi haszonszerzés céljából. A cég számos érintett készüléket gyártott, a kártékony szoftvert pedig több éven át különböző modellekben és márkák alatt találták meg.
A fertőzött eszközök túlnyomó többsége Android TV set-top box volt, de a kutatók más Android-alapú eszközöket is láttak köztük, például távgyógyászati készülékeket, karaokegépeket és digitális kijelzőket. A Google szerint az ügy nem egy elszigetelten cselekvő alkalmazott vagy fejlesztési hiba következménye volt.
Rejtett reklámok és az otthoni kapcsolat használata
A Google szerint a Videostrong hozzáférést adott el bűnöző partnereinek, akik saját moduljaikat tölthették a fertőzött boxokra. Ezek rejtett reklámmegtekintéseket futtattak, további kártevőket telepítettek, illetve úgynevezett lakossági proxyhálózatokba kapcsolták a készülékeket. Utóbbiakon keresztül mások forgalma az áldozat otthoni internetkapcsolatán haladhatott át.
A kutatók érzékeny adatok, köztük fiókadatok és rendszernaplók kinyerését is megfigyelték. Az üzemeltetők élő képernyőképeket készíthettek, billentyűleütéseket küldhettek és parancsokat futtathattak az eszközökön.
A törölt kártevő visszatérhet újraindításkor
Az XCPE fő összetevője a készülék gyári szoftverében kapott helyet, és rendszerjogosultsággal fut. Ha a tulajdonos eltávolítja, a Google leírása szerint újraindításkor automatikusan visszatelepül egy védett partícióról. Az alkalmazás törlése ezért önmagában nem tisztítja meg a készüléket.
A kártevő a Google Play Protect alkalmazásellenőrzését is kikapcsolja. A Google szerint a Videostrong olyan technikákat használt, amelyekkel kihasználta a gyártói tesztek egyik hiányosságát, és a készülék első indítása után töltötte be a kártékony kódot.
A Google beszámolója nem közöl teendőt az érintett készülékek tulajdonosainak.
Más fertőzött eszközök hozzáférését is megszakíthatják
A Google jogi úton lépett fel a botnet vezérlésére és a kártevőmodulok terjesztésére használt tartományokkal és szerverekkel szemben. A partnerek moduljait kiszolgáló vezérlési infrastruktúrát is célba vette. Becslése szerint utóbbiak leállításával legalább 10 millió további fertőzött eszközhöz szűnhet meg a hozzáférés. Ezek más terjesztési útvonalakon és kártevők révén kerültek a hálózatokba.
A Google megszakította kapcsolatát a Videostrong céggel. A gyártót és jövőbeli leányvállalatait, illetve partnereit eltiltotta a tanúsított Android-készülékek gyártásától és értékesítésétől, valamint attól, hogy más gyártóknak ilyen készülékekhez szoftvert szállítsanak. A vállalat a gyártói felülvizsgálati folyamaton is változtatott, és javítja a tanúsított Android TV-készülékek gyári szoftverének sértetlenségét vizsgáló ellenőrzéseket.
A cikk mesterséges intelligencia segítségével készült; a szerkesztőség ellenőrizte és jóváhagyta. Impresszum