Google повідомила про ліквідацію інфраструктури ботнету XCPE, який заразив понад 1,3 млн Android TV-приставок. За даними Google Threat Intelligence Group, шкідливе програмне забезпечення було вбудоване у прошивки пристроїв виробника Videostrong Technology.
Як працював ботнет XCPE
Шкідливе ПЗ встановлювали на пристрої ще на етапі виробництва, тому вони потрапляли до користувачів уже зараженими. Китайська компанія Videostrong Technology вбудовувала прихований механізм доступу безпосередньо у прошивку обладнання.
Після ввімкнення пристрою цей механізм міг непомітно завантажувати додаткові шкідливі програми. Власники приставок могли навіть не підозрювати, що їхнє обладнання використовується сторонніми особами.
За даними Google, Videostrong продавала кіберзлочинним угрупованням доступ до заражених пристроїв. Зловмисники використовували їх для рекламного шахрайства, викрадення даних і перенаправлення інтернет-трафіку через домашні мережі користувачів.
Особливу небезпеку становило розміщення прихованого механізму безпосередньо у прошивці. Навіть після видалення шкідливої програми він міг повторно встановити її під час наступного перезапуску пристрою.
Проблема стосувалася не лише телевізійних приставок. Google також виявила подібне зараження в обладнанні для дистанційної медицини, караоке-системах і пристроях цифрової реклами.
Як Google зупинила заражену мережу
Google спільно з компаніями з кібербезпеки та Національним поліцейським агентством Японії порушила роботу серверів ботнету XCPE. Саме через цю інфраструктуру зловмисники керували зараженими пристроями.
За оцінкою Google, блокування серверів пов'язаних злочинних угруповань може також перекрити доступ щонайменше до 10 млн інших скомпрометованих пристроїв. Однак це не означає, що шкідливе програмне забезпечення автоматично зникне з їхніх прошивок.
Компанія також припинила співпрацю з Videostrong Technology. Виробнику заборонили створювати або постачати програмне забезпечення для сертифікованих пристроїв Android.
Крім того, Google оновила процедури перевірки пристроїв під час сертифікації. Зміни мають допомогти виявляти подібні загрози до того, як обладнання потрапить до покупців.
Що робити власникам пристроїв
Google рекомендує купувати обладнання перевірених виробників і не вимикати захист Google Play Protect. Це допомагає зменшити ризик встановлення шкідливих застосунків, хоча не гарантує видалення загроз, вбудованих у прошивку.
Власникам пристроїв Videostrong Technology радять від'єднати обладнання від інтернету. Компанія також рекомендує розглянути можливість заміни таких пристроїв продукцією надійного виробника.
