W tym artykule
- Google twierdzi, że Videostrong włamał się do 1,3 miliona certyfikowanych Android Dekodery telewizyjne sprzedawano przestępcom, dając im dostęp do botnetu.
- Atak przerwał działanie botnetu, jednak tylne wejście pozostało w oprogramowaniu sprzętowym zainfekowanych komputerów.
- Podejrzewasz uszkodzenie dekodera? Odłącz go i zapytaj sprzedawcę o naprawę lub wymianę.
Większość malware'ów wymaga kliknięcia. Ten był w pudełku.
Grupa ds. analizy zagrożeń Google (GTIG) twierdzi, że ma duże zaufanie do Android Producent urządzeń, Videostrong Technology, stworzył i wdrożył backdoora XCPE w celu osiągnięcia korzyści finansowych. Videostrong sprzedawał dostęp podmiotom powiązanym z przestępczością, które instalowały na komputerach własne moduły złośliwego oprogramowania.
GTIG odkrył, że backdoor, zwany x.cpe (lub com.oemservice w niektórych kompilacjach), znajduje się w oprogramowaniu układowym z uprawnieniami na poziomie systemu. Jeśli ktoś go odinstaluje, instaluje się ponownie z poziomu /oem/ partycji podczas ponownego uruchamiania urządzenia. Może również wyłączyć weryfikację aplikacji Google Play Protect, umożliwiając instalację większej ilości oprogramowania bez pytania.
Google twierdzi, że Videostrong ominął testy zgodności i bezpieczeństwa, ładując złośliwy kod po pierwszym uruchomieniu urządzenia. Dzięki temu urządzenia pozostały częścią domowej sieci proxy.
Sieci proxy dla użytkowników indywidualnych wynajmują klientom zwykłe domowe adresy IP. Dzięki temu ich ruch wydaje się pochodzić z legalnego połączenia konsumenckiego, a nie z centrum danych. Może to pomóc cyberprzestępcom w omijaniu kontroli oszustw opartych na adresach IP i systemów reputacji.
Problem dla użytkowników
Oto, co dekodery z ukrytymi drzwiami mogą oznaczać dla ich właścicieli:
- Twoje domowe łącze internetowe mogło być używane przez innych. Moduły proxy kierowały cudzy ruch przez zainfekowane komputery i domowe adresy IP ich właścicieli.
- Oszustwa reklamowe . Moduły generowały w tle fałszywe wyświetlenia i kliknięcia reklam.
- Szpiegowanie i zdalny dostęp do Twojego urządzenia. Google zaobserwowało, że operatorzy przechwytywali zrzuty ekranu na żywo, podsłuchiwali naciśnięcia klawiszy, zbierali informacje o kontach i urządzeniach oraz otwierali odwrotne powłoki.
- Więcej złośliwego oprogramowania. Niektóre moduły partnerskie były tylnymi drzwiami, które mogły załadować kolejne moduły.
- Twój adres IP może być powiązany z aktywnością, której nie rozpocząłeś. Ruch proxy może obejmować na przykład próby odgadnięcia haseł do kont i może powodować, że Twój domowy adres IP będzie wyświetlany w związku z tą aktywnością.
Jak zachować bezpieczeństwo
Google i jego partnerzy podjęli kroki prawne w celu zablokowania domen i serwerów, których Videostrong używał do kontrolowania botnetu. Google twierdzi, że zakazał Videostrong i jego przyszłym spółkom zależnym i stowarzyszonym tworzenia certyfikowanych Android urządzeń i wzmocnione kontrole integralności oprogramowania sprzętowego dla certyfikowanych Android Urządzenia telewizyjne.
Usunięcie aplikacji jedynie zrywa połączenie z zainfekowanymi serwerami. Nie usuwa ona backdoora z zainfekowanych urządzeń i może potencjalnie zostać wykorzystana przez innych przestępców. Jeśli podejrzewasz, że Twój komputer może być zainfekowany, odłącz go i skontaktuj się ze sprzedawcą lub producentem, aby poprosić o czyste oprogramowanie układowe lub o wymianę. Odinstalowanie aplikacji nie usunie backdoora z oprogramowania układowego.
Google nie opublikowało pełnej listy modeli, których dotyczy problem, więc właściciele mogą nie być w stanie stwierdzić na podstawie samej nazwy modelu, czy ich urządzenie jest zainfekowane. Jeśli zdecydujesz się na wymianę urządzenia:
- Kupuj od renomowanego producenta.
- Zachowaj ostrożność w przypadku dekoderów „darmowej telewizji”. Pisaliśmy już o Superboxie i podobnych urządzeniach.
- Zachowaj ostrożność wobec aplikacji, które płacą Ci za udostępnianie przepustowości. Mogą one kierować ruch innych osób przez Twoje połączenie internetowe.
- Korzystaj z zaufanych sklepów z aplikacjami i miej włączoną funkcję Google Play Protect.
- Odizoluj urządzenie . Umieść dekodery TV i inny sprzęt IoT w oddzielnej sieci lub sieci VLAN z ograniczonym dostępem wychodzącym. Nie zapewnia to bezpieczeństwa samym urządzeniom, ale zapewnia oddzielenie pozostałych urządzeń.
Oszuści wiedzą o tobie więcej, niż ci się wydaje.
Malwarebytes Mobile Security Chroni Cię przed phishingiem , wiadomościami typu scam, złośliwymi witrynami i nie tylko. Dzięki wbudowanej funkcji Scam Guard, działającej w czasie rzeczywistym i opartej na sztucznej inteligencji.
