الشرطة وشركات أمن تعرقل شبكة بوت من أكثر من 1.3 مليون جهاز Android

أوقفت ائتلافية من شركات أمن في القطاع الخاص، بالتعاون مع وكالة الشرطة الوطنية اليابانية، الباب الخلفي XCPE الذي استُخدم لبناء شبكة بوت تضم أكثر من 1.3 مليون جهاز Android في أكثر من 200 دولة. وشاركت في العملية Google وLumen وHuman Security وPlume وSynthient وTrendAI. وقالت مجموعة استخبارات التهديدات التابعة لGoogle (GTIG) إنها تقيّم بثقة عالية أن الباب الخلفي وشبكة البوت طُوّرا ونُشرا وشُغّلا عمداً لتحقيق مكاسب مالية من قبل Videostrong Technology.

ما اكتشفه المحققون

Videostrong Technology شركة لتصنيع الأجهزة مقرها شنتشن في الصين. وهي تصنع أجهزة Android، بما فيها صناديق تلفاز منزلية وأجهزة عرض. وبحسب Google، أدمجت Videostrong الباب الخلفي XCPE عمداً في البرنامج الثابت للأجهزة وباعت الوصول إليه إلى شركاء إجراميين، ما سمح لهم بتثبيت وحدات برمجيات خبيثة إضافية على الأجهزة التي شُحنت إلى مشترين لا يعلمون بالأمر. وعندما وصّل المشترون هذه الأجهزة بشبكات منازلهم، مكّن الباب الخلفي المثبّت مسبقاً المشغّلين من إنشاء شبكات وكيل وإخفاء حركة مرور خبيثة عبر اتصالات الإنترنت الخاصة بالعملاء من دون علمهم.

كيف عمل الباب الخلفي

بحسب TrendAI، كان وكيل الإدارة المثبّت مسبقاً في البرنامج الثابت يتظاهر بأنه عميل إدارة عن بعد قياسي. وكان يسحب التحديثات من صفحة على GitHub ويتصل بخادم Message Queuing Telemetry Transport (MQTT) يمنح المشغّل تحكماً كاملاً عن بعد بكل صندوق، ما سمح له بتثبيت التطبيقات وإزالتها وتغيير الإعدادات ودفع التحديثات إلى الأجهزة المصابة.

النطاق والإيقاف

بين 3 يونيو و1 أكتوبر، وثّقت TrendAI أكثر من 3.8 مليون عنوان IP منزلي ومتحرك مختلف متصلة بالعملية. كما أوقف الائتلاف نطاقات التحكم والقيادة المستخدمة لإدارة وحدات الشركاء. ونظراً لأن هؤلاء الشركاء لديهم قنوات توزيع متنوعة لوحداتهم خارج XCPE، قالت GTIG إن إيقاف نطاقات C2 الخاصة بهم سيقطع الوصول إلى 10 ملايين جهاز مخترق إضافي على الأقل.

التبعات وشبكة بوت مرتبطة

وقالت Google إنها قطعت علاقاتها مع Videostrong بعد ذلك، ومنعت الشركة المصنّعة من إنتاج أجهزة تحمل تطبيقات Google مثبّتة مسبقاً. ولم ترد Videostrong فوراً على استفسارات The Register. وتُعد هذه العملية الخاصة بالباب الخلفي وشبكة البوت جزءاً من المنظومة نفسها التي تنتمي إليها BadBox 2.0، وهي شبكة بوت أخرى سيئة السمعة أصابت أكثر من 10 ملايين صندوق تلفاز وأجهزة أخرى قبل أن توقفها Human وGoogle وTrendAI في مارس 2025.

المصادر: The Register