პოლიციამ და უსაფრთხოების კომპანიებმა 1,3 მილიონზე მეტი Android-მოწყობილობის ბოტნეტი ჩაშალეს

კერძო უსაფრთხოების კომპანიების კოალიციამ, რომელიც იაპონიის პოლიციის ეროვნულ სააგენტოსთან ერთად მუშაობს, ჩაშალა XCPE, უკანა კარი, რომელსაც 200-ზე მეტ ქვეყანაში 1,3 მილიონზე მეტი Android-მოწყობილობის ბოტნეტის ასაწყობად იყენებდნენ. ოპერაციაში მონაწილეობდნენ Google, Lumen, Human Security, Plume, Synthient და TrendAI. Google Threat Intelligence Group-ის შეფასებით, მაღალი დარწმუნებით შეიძლება ითქვას, რომ უკანა კარი და ბოტნეტი განზრახ შეიმუშავა, განათავსა და ფინანსური მოგებისთვის ოპერირებდა Videostrong Technology-მ.

რა აღმოაჩინეს გამომძიებლებმა

Videostrong Technology არის შენჟენში, ჩინეთში დაფუძნებული ტექნიკის მწარმოებელი. კომპანია აწარმოებს Android-მოწყობილობებს, მათ შორის სახლის TV-ბოქსებსა და პროექტორებს. Google-ის ცნობით, Videostrong-მა განზრახ ჩაუშენა XCPE-ის უკანა კარი მოწყობილობების firmware-ს და მიჰყიდა წვდომა კრიმინალურ დაჯგუფებებს, რაც მათ საშუალებას აძლევდა, დამატებითი მავნე მოდულები დაეყენებინათ იმ მოწყობილობებზე, რომლებიც ეჭვის უქონელ მყიდველებს მიეწოდებოდათ. როცა მყიდველები ამ მოწყობილობებს სახლის ქსელს უერთებდნენ, წინასწარ დაყენებული უკანა კარი ოპერატორებს საშუალებას აძლევდა, შეექმნათ პროქსი-ქსელები და დაემალათ მავნე ტრაფიკი მომხმარებლების ინტერნეტკავშირის გამოყენებით, მათი ცოდნის გარეშე.

როგორ მუშაობდა უკანა კარი

TrendAI-ის ცნობით, firmware-ში წინასწარ დაყენებული მართვის აგენტი თითქოს „სტანდარტული დისტანციური მართვის კლიენტი“ იყო. ის განახლებებს GitHub-ის გვერდიდან იწერდა და უკავშირდებოდა Message Queuing Telemetry Transport (MQTT) სერვერს, რომელიც ოპერატორს თითოეულ ბოქსზე სრულ დისტანციურ კონტროლს აძლევდა: შეეძლო აპების დაყენება და წაშლა, პარამეტრების შეცვლა და განახლებების გაგზავნა ინფიცირებულ მოწყობილობებზე.

მასშტაბი და ოპერაციის ჩაშლა

3 ივნისიდან 1 ოქტომბრამდე TrendAI-მ დააფიქსირა 3,8 მილიონზე მეტი უნიკალური სახლისა და მობილური IP-მისამართი, რომლებიც ამ ოპერაციას უკავშირდებოდა. კოალიციამ ასევე ჩაშალა command-and-control დომენები, რომლებსაც აფილირებული მოდულების მართვისთვის იყენებდნენ. ვინაიდან თითოეულ აფილირებულს XCPE-ის გარდა მოდულების დისტრიბუციის სხვა, დივერსიფიცირებული არხებიც აქვს, GTIG-ის თქმით, მათი C2 დომენების ჩაკეტება მინიმუმ 10 მილიონ დამატებით კომპრომეტირებულ მოწყობილობაზე წვდომას მოწყვეტს.

შედეგები და დაკავშირებული ბოტნეტი

Google-ის განცხადებით, კომპანიამ მას შემდეგ Videostrong-თან ურთიერთობა შეწყვიტა და აუკრძალა მას, როგორც OEM-მწარმოებელს, წინასწარ დაყენებული Google-ის აპებით მოწყობილობების გამოშვება. Videostrong-მა The Register-ის კითხვებს მაშინვე არ უპასუხა. ეს უკანა კარი და ბოტნეტის ოპერაცია იმავე ეკოსისტემის ნაწილია, როგორც BadBox 2.0, კიდევ ერთი ცნობილი ბოტნეტი, რომელმაც 10 მილიონზე მეტი TV-ბოქსი და სხვა მოწყობილობა დააინფიცირა, სანამ Human-მა, Google-მა და TrendAI-მ 2025 წლის მარტში ის ჩაშალეს.

წყაროები: The Register