Ponad 1,3 miliona urządzeń Android TV miało zostać wciągniętych do rozległej sieci wykorzystywanej przez cyberprzestępców. Według Google za sprawą złośliwego oprogramowania XCPE stał producent sprzętu, firma Videostrong. Sprawa jest szczególnie niepokojąca, bo urządzenia trafiały do klientów jako legalne produkty, a nie jako sprzęt z nieznanego źródła.
Złośliwe oprogramowanie ukryte w urządzeniach
XCPE działało jak tylne wejście do urządzeń. Mogło służyć do oszustw reklamowych, pobierania kolejnych szkodliwych programów oraz włączania sprzętu do tzw. botnetu proxy rezydentnych. W takiej sieci połączenia internetowe przejętych urządzeń są wykorzystywane do działań, które trudniej powiązać z ich prawdziwymi sprawcami.
Google twierdzi, że Videostrong nie tylko dostarczało urządzenia z malware, ale również rozwijało złośliwe oprogramowanie i próbowało ukryć je przed kontrolami. Firma miała zarabiać zarówno na sprzedaży sprzętu, jak i na udostępnianiu dostępu do utworzonej sieci przestępcom. Nie ujawniono jednak, ile mogła na tym zarobić ani kto konkretnie korzystał z botnetu.
Do czego służą proxy rezydentne?
Przejęte urządzenia mogą być używane do rozsyłania ataków DDoS, masowego sprawdzania skradzionych haseł czy zbierania danych ze stron internetowych. Pozwalają też ukrywać prawdziwe adresy IP sprawców i omijać ograniczenia geograficzne. Wykorzystywanie połączeń zwykłych użytkowników sprawia, że podejrzany ruch może wyglądać jak aktywność pochodząca z domowych sieci.
Ta sprawa pokazuje, że zagrożenie może kryć się nawet w urządzeniu kupionym z legalnego źródła. Użytkownicy powinni zwracać uwagę na aktualizacje i wybierać sprzęt od zaufanych producentów. Certyfikat bezpieczeństwa nie daje pełnej gwarancji, jeśli kontrola urządzenia jest niewystarczająca.
To właśnie odróżnia tę sprawę od wielu wcześniejszych incydentów związanych z zainfekowanym sprzętem. Jak podaje Google, malware nie miało zostać umieszczone w urządzeniach przez zewnętrznych hakerów bez wiedzy producenta. W tym przypadku producent miał celowo przygotować oprogramowanie i wykorzystać zaufanie klientów.
Przeczytaj także: iPhone czy Android: Która platforma dominuje w świecie bezpieczeństwa IT?
Google i partnerzy odcinają botnet
Google poinformowało, że we współpracy z partnerami zablokowało infrastrukturę używaną do kontrolowania botnetu i instalowania dodatkowych modułów. Usunięto również domeny serwerów dowodzenia i kontroli, powiązane z ponad tuzinem rodzin malware’u rozpowszechnianych za pośrednictwem XCPE. W działaniach uczestniczyły między innymi japońska policja oraz firmy zajmujące się cyberbezpieczeństwem.
Videostrong ma zostać wykluczone z programu certyfikacji urządzeń Android. Zakaz obejmuje również przyszłe spółki zależne i powiązane, a firma nie będzie mogła dostarczać oprogramowania innym certyfikowanym producentom. Google zapowiedziało ponadto wzmocnienie kontroli integralności oprogramowania układowego urządzeń Android TV.
Nowe kontrole po wykryciu luki
Według Google producent zdołał ominąć dotychczasowe testy, wykorzystując techniki zaciemniania kodu i instalując złośliwe elementy już po pierwszym uruchomieniu urządzenia. Firma deklaruje, że zmieniła procedury przeglądu, by utrudnić podobne działania w przyszłości. Incydent pokazuje jednak, że nawet certyfikowany sprzęt może stanowić zagrożenie, jeśli kontrola nie obejmuje wszystkich etapów jego konfiguracji.
Wcześniej badacze bezpieczeństwa wykrywali telefony z fabrycznie zainstalowanym malware’em, między innymi urządzenia marek Doogee i Cubot. Tamte przypadki miały jednak wynikać z przejęcia łańcucha dostaw bez wiedzy lub zgody producentów. Sprawa Videostrong jest poważniejsza właśnie dlatego, że — według ustaleń Google — źródłem zagrożenia miał być sam dostawca sprzętu.
1.3 miliona z backdoorem w gotowym produkcie — brzmi jak scenariusz z horroru dla sieci domowej. Od razu odłączać od internetu i sprawdzać ruch wychodzący (conntrack/netstat). Nawet topowe specy w suchym opisie nic nie dadzą, jeśli firmware ma wbudowane tylne wejście.
Certyfikacja Google okazuje sie bezużyteczna jeśli producent sam instaluje malware. To nie jest wpadka łańcucha dostaw — to świadome działanie Videostrong. Kto podpisze takie urządzenia recenzjami w sklepach? Trzeba wreszcie wprowadzić audyty niezaleznych firm, a nie polegac tylko na „certyfikatach”.
Opis XCPE pasuje do tzw. post-boot implant — moduły dorzucane po pierwszym uruchomieniu by ominac obraz referencyjny. Kluczowe jest sprawdzenie verified boot, podpisów kernel/bootloadera, oraz czy rootfs jest montowany read-only. Przy takim incydencie warto poszukac: nietypowych procesów, trwałych crontabów, zmienionych init scripts i reguł iptables/NFT blokujacych RST. Google zrobiło dobrze zamykając domeny C2, ale bez masowych aktualizacji firmware problem wróci.
Mialam taniego smart-TV boxa od podobnego producenta i od razu byly na nim dziwne reklamy, nawet po przywroceniu do ustawien fabrycznych. Dopiero odcięcie od sieci i flash z oficjalnego obrazu pomoglo. Nie ufałabym teraz zadnym „certyfikowanym” boxom z Chin bez sprawdzenia.
Czy ktoś wie, czy urządzenia Videostrong dostaną update naprawczy czy będą po prostu zablokowane i bezuzyteczne? Jak sprawdzic lokalnie czy box byl w botnecie — wystarczy tcpdump i analiza pakietow? Szukam prostego przewodnika co sprawdzic.
Porównywanie tego do Doogee/Cubot jest mylące — tam mieliśmy zainfekowany łańcuch dostaw, tu według Google producent zarabial na udostepnianiu botnetu. To nie tylko kwestia cyberbezpieczenstwa, ale potencjalnie przestepstwo gospodarcze. Google wyrzucenie z programu to dopiero poczatek — powinny nastapic sankcje prawne i zwroty dla poszkodowanych kupujacych.