Поліція та фірми безпеки зірвали ботнет з понад 1,3 млн Android-пристроїв

Коаліція приватних компаній безпеки, що працювали з Національним поліцейським агентством Японії, зірвала роботу XCPE, бекдору, який використовували для створення ботнету з понад 1,3 млн Android-пристроїв у понад 200 країнах. У зірванні взяли участь Google, Lumen, Human Security, Plume, Synthient і TrendAI. Група аналітики загроз Google (GTIG) оцінює з високою впевненістю, що бекдор і ботнет навмисно розробила, розгорнула й експлуатувала для фінансового зиску компанія Videostrong Technology.

Що виявили слідчі

Videostrong Technology є виробником апаратного забезпечення з Шеньчженя, Китай. Вона випускає Android-пристрої, зокрема домашні ТВ-приставки та проектори. За даними Google, Videostrong навмисно вбудувала бекдор XCPE у прошивку пристроїв і продавала доступ до нього злочинним афіліатам, дозволяючи їм встановлювати додаткові шкідливі модулі на пристрої, які постачали необізнаним покупцям. Коли покупці підключали ці пристрої до домашніх мереж, попередньо встановлений бекдор дозволяв операторам створювати проксі-мережі та приховувати шкідливий трафік, використовуючи інтернет-з'єднання клієнтів без їхнього відома.

Як працював бекдор

За даними TrendAI, попередньо встановлений агент керування в прошивці видавав себе за стандартний клієнт віддаленого керування. Він завантажував оновлення зі сторінки GitHub і підключався до сервера Message Queuing Telemetry Transport (MQTT), що давало оператору повний віддалений контроль над кожною приставкою. Це дозволяло встановлювати та видаляти додатки, змінювати налаштування й надсилати оновлення на заражені пристрої.

Масштаб і зірвання

Від 3 червня до 1 жовтня TrendAI задокументувала понад 3,8 млн різних домашніх і мобільних IP-адрес, підключених до операції. Коаліція також зірвала роботу доменів командування та контролю, які використовували для керування модулями партнерів. Оскільки ці партнери мають різноманітні канали поширення своїх модулів поза межами XCPE, GTIG повідомила, що вимкнення їхніх C2-доменів позбавить доступу щонайменше до 10 млн додаткових заражених пристроїв.

Наслідки та пов'язаний ботнет

Google повідомила, що згодом припинила співпрацю з Videostrong і заборонила OEM-виробнику випускати пристрої з попередньо встановленими додатками Google. Videostrong не відповіла одразу на запити The Register. Ця операція з бекдором і ботнетом є частиною тієї самої екосистеми, що й BadBox 2.0, ще один сумнозвісний ботнет, який заразив понад 10 млн ТВ-приставок та інших пристроїв, перш ніж Human, Google і TrendAI зірвали його в березні 2025 року.

Джерела: The Register