Operacioni për çaktivizimin e Android botnet e lë të paprekur TV box backdoor
Një Android botnet, një rrjet pajisjesh të komprometuara që kontrollohen në distancë, humbi aksesin te serverët që drejtonin më shumë se 1,3 milion pajisje në një operacion çaktivizimi të udhëhequr nga Google në fund të tetorit. Shumica e pajisjeve të prekura ishin Android TV set-top boxes, megjithëse i njëjti backdoor u gjet edhe në pajisje telemjekësie, makina karaoke dhe tabela dixhitale.
Google thotë se ka bindje shumë të lartë që prodhuesi i pajisjeve Videostrong, me seli në Shenzhen, e vendosi qëllimisht në produktet e tij backdoor e quajtur x.cpe dhe shiti akses për veprimtari kriminale. Një backdoor është një mënyrë e fshehtë për të hyrë ose kontrolluar një pajisje pa lejen e pronarit. Videostrong prodhon Android TV boxes dhe pajisje të tjera me emrin e vet dhe për marka të tjera. Google beson se kodi u integrua në shumë modele dhe marka gjatë disa viteve, në vend që të ishte shtuar gabimisht ose nga një punonjës që vepronte pa autorizim.
Operacioni përdori masa ligjore për të sekuestruar ose çaktivizuar domain-et dhe serverët që kontrollonin botnet. Google çaktivizoi gjithashtu domain-et e kontrollit të lidhura me më shumë se një duzinë familjesh malware, që do të thotë grupe të ndërlidhura software keqdashës të instaluar përmes x.cpe. Agjencia Kombëtare e Policisë së Japonisë, Lumen, HUMAN Security, Plume, Synthient dhe TrendAI morën pjesë në operacion. Meqë kriminelët shpërndanin të njëjtin malware edhe përmes rrugëve të tjera, Google pret që ndërprerja t’ua heqë aksesin te të paktën 10 milion pajisje të tjera të infektuara. Kompania paralajmëroi se ofruesit e backdoor dhe klientët e tyre kriminalë mund t’i ndryshojnë shpejt mjetet pasi infrastruktura çaktivizohet.
Google i ka dhënë fund marrëdhënies së tij me Videostrong. Kompania ia ndaloi Videostrong, si dhe filialeve dhe subjekteve të lidhura që mund të krijohen në të ardhmen, prodhimin ose shitjen e pajisjeve Android të certifikuara dhe ofrimin e software për prodhues të tjerë të certifikuar.
x.cpe funksionon brenda firmware, software i integruar që nis dhe kontrollon një pajisje, si një system app me akses të privilegjuar. Ai kontakton command-and-control servers, të quajtur edhe C2 servers, të cilët u dërgojnë udhëzime pajisjeve të infektuara. Përpara se të instalojë software në heshtje, backdoor çaktivizon kontrollet e kryera nga Google Play Protect, veçoria e integruar e sigurisë së Android.
Sipas analizës së Google, operatorët mund të instalonin apps pa e njoftuar pronarin, të ekzekutonin komanda, të regjistronin ekranin dhe të hartëzonin pajisjet e tjera në të njëjtin rrjet. Google thotë se vëzhgoi operatorë duke marrë pamje të drejtpërdrejta të ekranit, duke transmetuar goditjet e tasteve, duke nxjerrë të dhënat e llogarive, informacionin e pajisjes, listat e aplikacioneve të instaluara dhe system logs, si dhe duke hapur reverse shells. Një reverse shell i jep një operatori në distancë një command line përmes së cilës mund të kontrollohet pajisja.
Shumica e moduleve, që janë programe shtesë të dërguara përmes backdoor, i shndërronin pajisjet në residential proxies ose shisnin bandwidth-in e tyre të papërdorur. Një residential proxy e drejton trafikun e dikujt tjetër përmes një lidhjeje interneti shtëpiake, duke bërë që aktiviteti të duket sikur vjen nga një shtëpi e zakonshme. Module të tjera gjeneronin shikime mashtruese të reklamave online. Kjo nënkuptonte se lidhjet e pronarëve mund të përdoreshin për trafik të jashtëm dhe mashtrim me reklama pa dijeninë e tyre.
TrendAI, njësia e biznesit për ndërmarrje e Trend Micro, numëroi 1.472.554 pajisje të infektuara në 206 modele nga 3 qershori deri më 1 tetor dhe tha se numri real ishte të paktën po aq i lartë. Malajzia, Brazili, Iraku, Meksika dhe Tajvani kishin numrin më të madh. Shtetet e Bashkuara, Gjermania, Mbretëria e Bashkuar, Australia dhe Kanadaja kishin secila afërsisht 26.000 deri në 42.000 pajisje të prekura.
Synthient publikoi emrat e 182 modeleve të pajisjeve të vëzhguara gjatë fushatës, por theksoi se përputhja e emrit të modelit nuk provon vetvetiu infektimin. Hetimi i saj u përqendrua te pajisjet e markës MECOOL të lidhura me Videostrong. Synthient bleu një MECOOL KM9PRO Max dhe zbuloi se x.cpe ishte tashmë i instaluar. Veçmas, Plume identifikoi më shumë se një duzinë llojesh pajisjesh që komunikonin me serverin e kontrollit të botnet, shumica prej tyre të markës MECOOL.
Heqja e x.cpe është e vështirë sepse ai është pjesë e firmware dhe rikthehet pas një restart. TrendAI thotë se ai funksionon si një system app i nënshkruar me key të prodhuesit, duke lënë si rrugë të disponueshme pastrimi ndërhyrjen e shitësit, mbrojtjen në nivel platforme ose zëvendësimin e pajisjes. Plume rekomandon një factory reset të plotë, sepse modulet e shkarkuara mund të kenë shtuar backdoors të tjera, por nuk deklaron se një reset e heq x.cpe. Synthient i këshillon konsumatorët t’i shkëputin dhe t’i nxjerrin përgjithmonë jashtë përdorimit pajisjet e prekura për shkak të rrezikut nga malware.
Për organizatat, Synthient rekomandon përdorimin e treguesve të publikuar prej saj, pra shenjave teknike të komprometimit, për të gjetur pajisjet MECOOL dhe pajisje të ngjashme, shkëputjen dhe asgjësimin e pajisjeve të gjetura, si dhe bllokimin e domain-eve të kontrollit dhe adresave IP të listuara. Ajo rekomandon gjithashtu vendosjen e pajisjeve të tjera smart në network segments të veçanta, pjesë të izoluara të një rrjeti që mbahen larg sistemeve sensitive. TrendAI i këshillon punëdhënësit me punonjës në distancë që pajisjet e konsumatorëve të pamenaxhuara në rrjetet shtëpiake t’i konsiderojnë pjesë të attack surface së tyre, pra tërësisë së pajisjeve dhe lidhjeve që mund të ofrojnë një rrugë hyrjeje në burimet e kompanisë, dhe ta kufizojnë aksesin në sistemet e kompanisë vetëm te pajisjet e menaxhuara.
Google e lidhi x.cpe me software të tjera të Videostrong sepse backdoor ua kalon konfigurimet nga C2 server i tij aplikacioneve, përfshirë aplikacionin e streaming YokaTV Player. Një llogari GitHub e përdorur për të hostuar paketat e botnet quhej yf-videostrong. Synthient arriti gjithashtu në një vlerësim me besueshmëri të lartë se Videostrong e operonte sistemin, duke cituar një dokument të nënshkruar nga drejtori i kërkimit dhe zhvillimit i kompanisë në një folder me akses të hapur në një server të botnet. Ajo gjeti gjithashtu një domain të Videostrong që ndante një adresë IP me control panel të operatorëve. Plume zbuloi se kompania furnizonte si firmware të pajisjeve, ashtu edhe mjete për menaxhim në distancë.
Incidenti ekspozoi gjithashtu një dobësi në miratimin e pajisjeve Android. Google u kërkon prodhuesve të përfundojnë testet e përputhshmërisë dhe sigurisë, por thotë se Videostrong e fshehu kodin e vet për të shfrytëzuar një boshllëk në këto kontrolle dhe e instaloi komponentin keqdashës pas nisjes së parë të pajisjes. Që prej asaj kohe, Google e ka ndryshuar procesin e shqyrtimit dhe po forcon kontrollet e firmware për pajisjet e certifikuara Android TV. Më 2 nëntor, website i Videostrong vazhdonte të listonte produkte të përshkruara si Android TV boxes dhe stick të certifikuara.
Plume gjeti brenda botnet si pajisje të certifikuara nga Google, ashtu edhe produkte që përdornin Android Open Source Project (AOSP), bazën e Android që ofrohet falas. Google nuk deklaroi se sa pajisje të certifikuara ishin prekur. Kjo ndryshon nga BadBox 2.0 botnet i përfshirë në padinë e Google të korrikut 2025, më shumë se 10 milion pajisjet e të cilit ishin të pacertifikuara.
Për bizneset që përballen me rreziqe më të gjera për pajisjet dhe rrjetet, AEU-I ofron IT, infrastrukturë dhe konsulencë me sigurinë në plan të parë. Megjithatë, për pronarët e prekur, kufizimi kryesor mbetet fizik dhe i menjëhershëm: çaktivizimi i serverëve të botnet ndërpreu kontrollin, por nuk e hoqi x.cpe nga vetë pajisjet.