گوگل منجر به حذف بات نت عظیم بدافزار XCPE ساخته شده از بیش از 1.3 میلیون جعبه استریم تلویزیون اندروید شد - و ادعا می کند که این موارد عمدا برای دسترسی مجرمان تنظیم شده اند.

گوگل تلاش هایی را برای از بین بردن بات نت پروکسی مسکونی 1.3 میلیون دستگاهی که از طریق بدافزار از پیش نصب شده بر روی سخت افزار اندروید ساخته شده است رهبری می کند.

محققان می گویند سازنده Videostrong عمدا بدافزار ارسال کرده و دسترسی بات نت را به مجرمان سایبری فروخته است

گوگل زیرساخت ها را تصرف کرد، شرکت را از صدور گواهینامه اندروید مسدود کرد و بررسی های امنیتی دستگاه را تقویت کرد گوگل نقش خود را در از بین بردن یک شبکه پراکسی بزرگ مسکونی و بدافزاری که آن را ساخته است فاش کرده است - با این پیچ و تاب غیرعادی که توسعه دهنده یک تجارت به ظاهر قانونی با چندین محصول و مشتریان قابل اعتماد بی شماری بود.

در یک پست وبلاگی، این شرکت گفت که همراه با شرکای خود، یک درب پشتی به نام XCPE را برچیده است. این بدافزار ظاهرا برای کلاهبرداری تبلیغاتی استفاده می‌شد، به عنوان قطره‌ای برای بدافزارهای اضافی استفاده می‌شد و برای جذب دستگاه‌ها در یک شبکه پروکسی مسکونی غیرقانونی استفاده می‌شد.

این شرکت گفت که در مجموع، بیش از 1.3 میلیون ستاپ باکس به تنهایی بخشی از این شبکه بودند.

بدون حمله زنجیره تامین

شبکه های پراکسی مسکونی مخرب چیز جدیدی نیستند - آنها به طور منظم ظاهر می شوند و از بین می روند. اما این یکی منحصربه‌فرد بود، زیرا روی دستگاه‌های اندرویدی که توسط یک سازنده تجهیزات اصلی Android (OEM) و سازنده طراحی اصلی (ODM) ساخته و فروخته شده بود، از قبل بارگذاری شده بود. به عبارت دیگر، مردم فکر می کردند که یک محصول قانونی را از یک شرکت قانونی و مورد تایید گوگل می خرند، اما در عوض سخت افزاری مملو از بدافزار دریافت می کردند که از اعتماد آنها سوء استفاده کرده و پهنای باند آنها را به مجرمان سایبری می فروخت.

در این مورد، نه تنها شرکت می‌دانست که چه کار می‌کند، بلکه به طور فعال در حال توسعه بدافزار بود و حتی روی مخفی کردن آن از گوگل و دیگران کار می‌کرد.

گوگل، ناامیدی خود را از سازنده پنهان نکرد، گفت: «یک سازنده دستگاه که عمدا کاربران خود را با بدافزار آلوده می‌کند، نقض اعتماد غیرقابل قبولی است و خطری جدی برای آن کاربران است.»

Videostrong در نهایت دو چیز را فروخت: در ظاهر، گوشی‌های هوشمند مجهز به اندروید و دستگاه‌های مشابهی را می‌فروخت که حاوی بدافزارهایی بود که یک بات‌نت ایجاد می‌کرد. زیر میز، دسترسی به آن بات نت را به مجرمان سایبری می فروخت.

تعدادی از شرکت‌ها و آژانس‌های دیگر از جمله آژانس پلیس ملی ژاپن، Lumen، HUMAN Security، Plume، Synthient و TrendAI به گوگل پیوستند.

بازیگران تهدید همیشه به بات نت های پروکسی مسکونی نیاز دارند. آن‌ها می‌توانند از آن‌ها برای راه‌اندازی حملات انکار سرویس توزیع‌شده قدرتمند (DDoS)، مخفی کردن آدرس‌های خود در حین کار، اجرای کمپین‌های پر کردن اعتبار در مقیاس بزرگ، دور زدن محدودیت‌های جغرافیایی، حذف وب‌سایت‌ها در مقیاس و موارد دیگر استفاده کنند. ما نمی دانیم که Videostrong از فروش دسترسی به بات نت چقدر درآمد داشته است یا چه کسی از آن استفاده کرده است.

حذف دامنه های C2

برای مختل کردن بدافزار و شبکه، گوگل دامنه‌ها و سرورهایی را که شرکت برای کنترل بات‌نت و نصب ماژول‌های بدافزار استفاده می‌کرد، حذف کرد، دامنه‌های C2 را که توسط بیش از دوجین خانواده بدافزار استفاده می‌شد که به‌عنوان ماژول از طریق درب پشتی XCPE بارگذاری شده بودند، حذف کرد، و Videostrong و تمام زیرمجموعه‌ها و شرکت‌های وابسته آینده را از ساخت و فروش دستگاه‌های عرضه‌کننده یا عرضه‌کننده نرم‌افزار Android به دیگر فروشنده‌های آینده منع کرد.

گوگل همچنین گفت که بررسی های یکپارچگی سیستم عامل خود را برای دستگاه های Android TV دارای تاییدیه بهبود بخشیده است تا از حوادث مشابه مربوط به سایر سازندگان جلوگیری کند.

در این بیانیه تاکید شده است: «گوگل از OEM ها می خواهد که مجموعه جامعی از تست های سازگاری و امنیتی را برای اطمینان از تجربه کاربری ثابت و ایمن در سراسر اکوسیستم اندروید انجام دهند. با این حال، Videostrong از تکنیک‌های مبهم‌سازی برای سوء استفاده از شکاف در آزمایش‌های ما و بارگیری کدهای مخرب پس از اولین راه‌اندازی دستگاه استفاده کرد. در نتیجه، Google تغییراتی را در روند بررسی موجود خود برای محافظت بهتر در برابر فعالیت‌های مشابه در آینده اعمال کرده است.»

این اولین بار نیست که یک دستگاه الکترونیکی با بدافزار در قفسه عرضه می شود. ماه گذشته، محققان امنیتی Bitdefender دریافتند که تلفن‌های اندرویدی از چندین سازنده، از جمله Doogee و Cubot (هر دو شرکت چینی) با بدافزارهای از پیش بارگذاری شده فروخته می‌شوند. با این حال، در آن موارد، زنجیره تامین در معرض خطر قرار گرفت و بدافزار بدون اطلاع یا رضایت OEM گنجانده شد.