Google заявила, что партнёр по Android превратил 1,3 млн устройств в ботнет
Google заявила, что один из её партнёров по производству Android-устройств, компания Videostrong Technology Co. из Шэньчжэня (Китай), тайно встроил бэкдор в 1,3 млн устройств и превратил их в ботнет. По словам Google, бэкдор уже ликвидирован, а с производителем компания «разорвала отношения» (cut ties). Videostrong запрещено выпускать и продавать сертифицированные Android-устройства, а также поставлять для них программное обеспечение.
Заражённые устройства без ведома владельцев использовались для «вредоносной активности»: рекламного мошенничества, кражи данных и маршрутизации несанкционированного сетевого трафика. Google утверждает, что бэкдор и ботнет «были намеренно разработаны, внедрены и эксплуатировались ради финансовой выгоды».
Схема заработка, по версии Google, такая: Videostrong продавала доступ к бэкдору преступным партнёрам (affiliates) и загружала на заражённые устройства их вредоносные модули. Эти вторичные модули занимались рекламным мошенничеством, втайне подключали устройства к сетям резидентных прокси и загружали дополнительное вредоносное ПО на устройства, скомпрометированные через XCPE (так называется бэкдор/ботнет). Google также предприняла действия против командных серверов (C2-доменов), которые управляют этими модулями. Поскольку у партнёров-злоумышленников есть и другие каналы распространения модулей помимо XCPE, Google оценивает, что отключение их C2-доменов лишит управления как минимум 10 млн дополнительных заражённых устройств. Это отдельная оценка Google, она не входит в 1,3 млн.
Затронут был не один тип устройств: вредоносный код нашли «встроенным напрямую в множество разных моделей и брендов на протяжении нескольких лет». Большинство заражённых устройств, приставки на Android TV, но ботнет поразил и другие IoT-устройства на Android, включая телемедицинские устройства, караоке-машины и цифровые вывески.
Google говорит, что Videostrong применяла «техники обфускации» (сокрытия кода), чтобы загрузить вредонос на устройства пользователей после первого включения оборудования. Кроме того, Google сообщила, что изменила процесс проверки производителей устройств после этого инцидента.
Ключевые факты
- Google заявляет, что китайский партнёр Videostrong Technology Co. (Шэньчжэнь) встроил бэкдор в 1,3 млн устройств, в основном приставок на Android TV, и сделал из них ботнет.
- Устройства использовались без ведома владельцев для рекламного мошенничества, кражи данных и маршрутизации несанкционированного трафика; доступ продавался преступным партнёрам.
- Google ликвидировала бэкдор, разорвала отношения с Videostrong и запретила ей выпускать и продавать сертифицированные Android-устройства.
- После отключения C2-доменов партнёров-злоумышленников, по оценке Google, будет потерян доступ как минимум к 10 млн дополнительных заражённых устройств.
- Вредонос нашли в разных моделях и брендах за несколько лет, включая телемедицинские устройства, караоке-машины и цифровые вывески; Google изменила процесс проверки производителей.
Почему это важно
Это заявление самой Google о том, что вредоносный код в массовые устройства намеренно заложил производитель, а не сторонний взломщик. Бэкдор по её словам был встроен на этапе производства и загружался при первом включении, то есть покупатель получал уже скомпрометированное устройство. Масштаб, 1,3 млн устройств, а с учётом доменов партнёров-злоумышленников, ещё как минимум 10 млн по оценке Google.
Кому это важно
Владельцам Android-приставок и других IoT-устройств на Android: телемедицинских, караоке-машин, цифровых вывесок. Также это касается производителей и поставщиков, которые выпускают сертифицированные Android-устройства, и специалистам по безопасности, отслеживающим ботнеты, резидентные прокси и рекламное мошенничество.
Как это применить
Практических инструкций в материале нет. В нём не названы конкретные бренды и модели, и не сказано, как пользователь может проверить своё устройство или очистить его. Остаётся следить за официальными сообщениями Google и производителей своих устройств.
Можно ли доверять
Все утверждения об умысле, схеме монетизации и масштабе, это слова Google, пересказанные The Verge. Независимого подтверждения в материале нет, ответ Videostrong не приведён. Цифра в 10 млн, оценка Google о том, что даст отключение C2-доменов, а не подтверждённое число заражений. Дат обнаружения, ликвидации и запрета в тексте нет, как и описания того, как Google нашла бэкдор.
Риски и подводные камни
Не названы затронутые бренды и модели, поэтому пользователь не может понять, касается ли это его устройства. Неизвестно, можно ли очистить устройства и как именно изменён процесс проверки производителей. Вредонос находили в разных моделях и брендах в течение нескольких лет, а у злоумышленников-партнёров были и другие каналы распространения, так что последствия могут выходить за пределы 1,3 млн устройств.
«бэкдор и ботнет были намеренно разработаны, внедрены и эксплуатировались ради финансовой выгоды»
— Google, как цитирует The Verge