Google нарушил работу ботнета из более чем 1,3 млн ТВ-приставок

Google и партнёры нарушили работу ботнета XCPE — сети из более чем 1,3 млн заражённых ТВ-приставок на Android, которыми злоумышленники управляли удалённо. По данным Google, вредоносное ПО намеренно устанавливал производитель устройств — китайская Videostrong Technology Co.

Вредоносное ПО встраивали в прошивку приставок при производстве. Оно позволяло незаметно устанавливать приложения, отключать Google Play Protect — сервис проверки приложений на вредоносное ПО — и собирать данные. Заражённые приставки использовали для мошенничества с рекламой и передачи чужого интернет-трафика без ведома владельцев.

Google сообщил об отключении серверов управления XCPE, которыми пользовались и другие вредоносные программы. Это также лишило злоумышленников доступа как минимум к 10 млн других заражённых устройств. Их заразили другими способами; среди них были ТВ-приставки, караоке-системы и оборудование для дистанционной медицинской помощи. Не все эти устройства работали на Android.

В расследовании участвовали Национальное полицейское агентство Японии и компании по кибербезопасности. Исследователи Synthient связали инфраструктуру ботнета с Videostrong: домен Videostrong указывал на тот же IP-адрес, что и сервер управления заражёнными устройствами.

Google прекратил сотрудничество с Videostrong и отозвал лицензию на выпуск Android TV-устройств с предустановленными приложениями и сервисами Google. Запрет выпускать сертифицированные Android-устройства и поставлять ПО сертифицированным производителям распространяется также на связанные с Videostrong компании, которые появятся в будущем. При этом вредоносное ПО осталось на заражённых устройствах и восстанавливается после удаления. Для его устранения нужна чистая прошивка; отключение устройства от интернета предотвращает дальнейшую вредоносную активность.

Источник: BleepingComputer