Polis və təhlükəsizlik şirkətləri 1,3 milyondan çox Android cihazdan ibarət botneti pozdu

Özəl sektor təhlükəsizlik firmalarından ibarət koalisiya Yaponiyanın Milli Polis Agentliyi ilə birlikdə 200-dən çox ölkədə 1,3 milyondan çox Android cihazdan ibarət botnet qurmaq üçün istifadə olunan XCPE arxa qapısını pozdu. Google, Lumen, Human Security, Plume, Synthient və TrendAI pozulmada iştirak etdi. Google Threat Intelligence Group yüksək əminliklə qiymətləndirir ki, arxa qapı və botnet Videostrong Technology tərəfindən maliyyə qazancı məqsədilə qəsdən hazırlanmış, yerləşdirilmiş və idarə olunmuşdur.

Araşdırıcıların tapıntıları

Videostrong Technology Çinin Şençjen şəhərində yerləşən avadanlıq istehsalçısıdır. O, Android cihazları, o cümlədən ev TV qutuları və proyektorlar istehsal edir. Google-a görə, Videostrong XCPE arxa qapısını qəsdən cihaz firmware-inə yerləşdirib və kriminal tərəfdaşlara əlavə zərərli proqram modullarını müştərilərə göndərilən cihazlara quraşdırmağa imkan verən giriş satıb. Alıcılar bu cihazları ev şəbəkələrinə qoşanda, əvvəlcədən quraşdırılmış arxa qapı operatorlara proksi şəbəkələr yaratmağa və müştərilərin internet bağlantısından onların xəbəri olmadan zərərli trafiki gizlətməyə imkan verdi.

Arxa qapı necə işlədi

Firmware-in əvvəlcədən quraşdırılmış idarəetmə agenti TrendAI-ya görə standart uzaqdan idarəetmə müştərisi kimi təqdim olunurdu. O, GitHub səhifəsindən yeniləmələr çəkirdi və operatora hər qutu üzərində tam uzaqdan nəzarət verən Message Queuing Telemetry Transport (MQTT) serverinə qoşulurdu; bu, onlara yoluxmuş cihazlara tətbiqləri quraşdırmağa və silməyə, parametrləri dəyişməyə və yeniləmələr göndərməyə imkan verirdi.

Miqyas və pozulma

İyun 3-dən oktyabr 1-dək TrendAI əməliyyata qoşulmuş 3,8 milyondan çox fərqli ev və mobil IP ünvanını sənədləşdirdi. Koalisiya həmçinin tərəfdaş modullarını idarə etmək üçün istifadə olunan əmr və nəzarət domenlərini pozdu. GTIG bildirdi ki, bu tərəfdaşların XCPE-dən kənarda modulları üçün müxtəlif yayım kanalları olduğundan, onların C2 domenlərinin pozulması ən azı 10 milyon əlavə yoluxmuş cihaza girişə son qoyacaq.

Nəticə və əlaqəli botnet

Google bildirdi ki, Videostrong ilə əlaqələri kəsib və OEM-in əvvəlcədən quraşdırılmış Google tətbiqləri olan cihazlar istehsal etməsini qadağan edib. Videostrong The Register-in sorğularına dərhal cavab vermədi. Bu arxa qapı və botnet əməliyyatı BadBox 2.0 ilə eyni ekosistemin bir hissəsidir; BadBox 2.0 Human, Google və TrendAI mart 2025-ci ildə pozana qədər 10 milyondan çox TV qutusu və digər cihazı yoluxdurmuş başqa bədnam botnetdir.

Mənbələr: The Register