משטרה וחברות אבטחה שיבשו בוטנט של יותר מ-1.3 מיליון מכשירי Android

קואליציה של חברות אבטחה מהמגזר הפרטי שפעלה עם הסוכנות הלאומית למשטרה של יפן שיבשה את XCPE, דלת אחורית ששימשה לבניית בוטנט של יותר מ-1.3 מיליון מכשירי Android ביותר מ-200 מדינות. Google, Lumen, Human Security, Plume, Synthient ו-TrendAI השתתפו בשיבוש. Google Threat Intelligence Group מסרה כי היא מעריכה בביטחון גבוה שהדלת האחורית והבוטנט פותחו, נפרסו והופעלו בכוונה למטרות רווח כספי על ידי Videostrong Technology.

מה מצאו החוקרים

Videostrong Technology היא יצרנית חומרה הממוקמת בשנג'ן, סין. היא מייצרת מכשירי Android, כולל קופסאות טלוויזיה ביתיות ומקרנים. לפי Google, Videostrong הטמיעה בכוונה את דלת אחורית XCPE בקושחת המכשירים ומכרה גישה לשותפים פליליים, מה שאפשר להם להתקין מודולי תוכנה זדונית נוספים במכשירים שנשלחו ללקוחות שלא חשדו בדבר. כאשר הקונים חיברו את המכשירים הללו לרשתות הביתיות שלהם, הדלת האחורית שהותקנה מראש אפשרה למפעילים ליצור רשתות פרוקסי ולהסתיר תעבורה זדונית באמצעות חיבורי האינטרנט של הלקוחות בלי ידיעתם.

איך פעלה הדלת האחורית

סוכן הניהול שהותקן מראש בקושחה התיימר להיות לקוח ניהול מרחוק סטנדרטי, לפי TrendAI. הוא משך עדכונים מדף GitHub, והתחבר לשרת Message Queuing Telemetry Transport (MQTT) שהעניק למפעיל שליטה מרחוק מלאה בכל קופסה, ואפשר לו להתקין ולהסיר אפליקציות, לשנות הגדרות ולדחוף עדכונים למכשירים הנגועים.

היקף ושיבוש

בין 3 ביוני ל-1 באוקטובר, TrendAI תיעדה יותר מ-3.8 מיליון כתובות IP ביתיות וניידות נפרדות שהתחברו לפעילות. הקואליציה שיבשה גם את הדומיינים של הפיקוד והשליטה ששימשו לניהול מודולי השותפים. מאחר שלכל אחד מהשותפים הללו יש ערוצי הפצה מגוונים למודולים שלו מעבר ל-XCPE, מסרה GTIG כי השבתת הדומיינים של C2 שלהם תנתק את הגישה ללפחות 10 מיליון מכשירים נוספים שנפרצו.

השלכות ובוטנט קשור

Google מסרה כי מאז ניתקה את הקשרים עם Videostrong, ואסרה על ה-OEM לייצר מכשירים עם אפליקציות Google מותקנות מראש. Videostrong לא הגיבה מיד לפניות The Register. פעילות הדלת האחורית והבוטנט הזו היא חלק מאותה מערכת אקולוגית כמו BadBox 2.0, בוטנט ידוע לשמצה נוסף שהדביק יותר מ-10 מיליון קופסאות טלוויזיה ומכשירים אחרים לפני ש-Human, Google ו-TrendAI שיבשו אותו במרץ 2025.

מקורות: The Register