Ոստիկանությունն ու անվտանգության ընկերությունները խափանեցին ավելի քան 1,3 մլն Android սարքից բաղկացած բոտնետը

Մասնավոր հատվածի անվտանգության ընկերությունների և Ճապոնիայի Ազգային ոստիկանական գործակալության կոալիցիան խափանեց XCPE-ն՝ բեքդոր, որն օգտագործվել է ավելի քան 200 երկրում 1,3 մլն-ից ավելի Android սարքից բաղկացած բոտնետ ստեղծելու համար։ Google-ը, Lumen-ը, Human Security-ն, Plume-ը, Synthient-ը և TrendAI-ն մասնակցեցին խափանմանը։ Google Threat Intelligence Group-ը բարձր վստահությամբ գնահատում է, որ բեքդորն ու բոտնետը դիտավորյալ մշակվել են, տեղակայվել և շահագործվել Videostrong Technology-ի կողմից՝ ֆինանսական շահի համար։

Ինչ գտան հետաքննիչները

Videostrong Technology-ն Շենժենում (Չինաստան) գտնվող ապարատային արտադրող է։ Այն արտադրում է Android սարքեր, այդ թվում՝ տնային TV box-եր և պրոյեկտորներ։ Google-ի տվյալներով՝ Videostrong-ը դիտավորյալ ներդրել է XCPE բեքդորը սարքի firmware-ում և վաճառել է հասանելիությունը քրեական գործընկերներին՝ թույլ տալով նրանց լրացուցիչ չարամիտ մոդուլներ տեղադրել անտեղյակ հաճախորդներին ուղարկված սարքերում։ Երբ գնորդները այդ սարքերը միացնում էին տնային ցանցերին, նախապես տեղադրված բեքդորը թույլ էր տալիս օպերատորներին ստեղծել պրոքսի ցանցեր և թաքցնել չարամիտ տրաֆիկը՝ օգտագործելով հաճախորդների ինտերնետ կապը առանց նրանց իմացության։

Ինչպես էր գործում բեքդորը

Ըստ TrendAI-ի՝ firmware-ի նախապես տեղադրված կառավարման գործակալը իրեն ներկայացնում էր որպես ստանդարտ հեռակառավարման հաճախորդ։ Այն թարմացումներ էր բեռնում GitHub էջից և միանում էր Message Queuing Telemetry Transport (MQTT) սերվերին, որը օպերատորին տալիս էր յուրաքանչյուր box-ի լիարժեք հեռակառավարում՝ թույլ տալով տեղադրել և հեռացնել հավելվածներ, փոխել կարգավորումները և թարմացումներ ուղարկել վարակված սարքերին։

Մասշտաբը և խափանումը

Հունիսի 3-ից մինչև հոկտեմբերի 1-ը TrendAI-ն փաստագրել է ավելի քան 3,8 մլն տարբեր տնային և բջջային IP հասցեներ՝ միացված գործողությանը։ Կոալիցիան նաև խափանեց հրամանի և վերահսկման դոմեյնները, որոնք օգտագործվում էին գործընկերների մոդուլները կառավարելու համար։ Քանի որ այդ գործընկերներն ունեն իրենց մոդուլների բաշխման դիվերսիֆիկացված ալիքներ՝ XCPE-ից դուրս, GTIG-ը ասաց, որ նրանց C2 դոմեյնների հեռացումը կկտրի առնվազն 10 մլն լրացուցիչ վարակված սարքերի հասանելիությունը։

Հետևանքները և կապված բոտնետը

Google-ը ասաց, որ դրանից հետո խզել է կապերը Videostrong-ի հետ և արգելել է OEM-ին սարքեր արտադրել նախապես տեղադրված Google հավելվածներով։ Videostrong-ը անմիջապես չպատասխանեց The Register-ի հարցումներին։ Այս բեքդորն ու բոտնետի գործողությունը մաս են կազմում BadBox 2.0-ի նույն էկոհամակարգին՝ ևս մեկ հայտնի բոտնետի, որը մարտի 2025-ին Human-ի, Google-ի և TrendAI-ի կողմից խափանվելուց առաջ վարակել էր ավելի քան 10 մլն TV box-եր և այլ սարքեր։

Աղբյուրներ: The Register