Google rozbiło botnet XCPE. Zainfekowane dekodery z Android TV były furtką dla przestępców

Google rozbiło botnet XCPE, który obejmował ponad 1,3 mln dekoderów z Android TV. Według Google Threat Intelligence Group złośliwy backdoor był wbudowany w oprogramowanie układowe urządzeń dostarczanych przez chińską firmę Videostrong Technology. To oznacza, że problem nie zaczynał się od aplikacji pobranej przez użytkownika, lecz jeszcze przed zakupem sprzętu.

Google ocenia z wysoką pewnością, że infrastruktura była rozwijana i wykorzystywana dla zysku. Firma odcięła Videostrong od programu certyfikacji i zakazała jej tworzenia urządzeń z fabrycznie instalowanymi aplikacjami Google. W komunikacie nazwała celowe infekowanie sprzętu poważnym naruszeniem zaufania użytkowników.

Backdoor wracał po każdym restarcie

Sercem kampanii był x.cpe, komponent umieszczony bezpośrednio w firmware. Działał z wysokimi uprawnieniami systemowymi i po uruchomieniu urządzenia mógł pobierać kolejne moduły. Samo odinstalowanie złośliwego pakietu nie musiało wystarczyć, ponieważ po ponownym uruchomieniu mechanizm potrafił odtworzyć go z partycji producenta.

Google opisuje dwustopniową komunikację: urządzenie najpierw pobierało konfigurację, a później utrzymywało połączenie MQTT z serwerem sterującym. To pozwalało między innymi instalować aplikacje bez wiedzy właściciela, wykonywać polecenia powłoki, zbierać informacje o urządzeniu i kierować jego ruchem sieciowym. Moduły afiliantów wykorzystywano do oszustw reklamowych oraz budowania sieci residential proxy, czyli pośredników, przez które cudzy ruch wyglądał jak pochodzący z domowego łącza.

Problem wykraczał poza telewizory

Większość zainfekowanych urządzeń stanowiły przystawki telewizyjne, ale Google znalazło podobny kod także w wybranych urządzeniach telemedycznych, maszynach karaoke i systemach digital signage. Dodatkowo usunięcie serwerów sterujących modułami afiliantów może odciąć dostęp do co najmniej 10 mln kolejnych urządzeń skompromitowanych innymi kanałami. To nie znaczy jednak, że malware znika automatycznie z każdego sprzętu, który już je pobrał.

W działaniach uczestniczyły między innymi japońska policja oraz firmy Lumen, HUMAN Security, Plume, Synthient i TrendAI. Google zapowiedziało również zmiany w procesie kontroli certyfikowanych urządzeń Android TV, tak aby trudniej było ukryć złośliwy kod i doinstalować go po pierwszym uruchomieniu.

Co powinien zrobić właściciel dekodera?

Najbezpieczniejsza decyzja w przypadku urządzenia pochodzącego od Videostrong Technology lub niepewnego sprzedawcy to odłączyć je od internetu i rozważyć wymianę na sprzęt renomowanego producenta. Warto też pozostawić włączoną funkcję Google Play Protect, choć w opisanym przypadku sam skaner aplikacji nie rozwiązywał problemu ukrytego w firmware. Przy zakupie nowej przystawki należy sprawdzić, czy model pochodzi z oficjalnego kanału i czy jest objęty certyfikacją Android TV.

Źródła

• Google Threat Intelligence Group: Shutting the Door on the XCPE Botnet
• Japońska Komisja Bezpieczeństwa Publicznego: informacja o zagrożeniu residential proxy