Ponad milion telewizorów zagrożonych. Bezprecedensowy skandal na rynku RTV

Ponad 1,3 mln urządzeń z Androidem trafiło do botnetu, a złośliwe oprogramowanie instalowano w nich jeszcze przed sprzedażą. Najlepsze? Część przystawek miała oficjalną certyfikację Google. Producent najwyraźniej uznał, że malware to kolejna funkcja premium.

Kupujesz przystawkę do telewizora, żeby oglądać Netflixa czy YouTube, a przy okazji zostajesz nieświadomym uczestnikiem cyberprzestępczego biznesu. I to bez żadnej dodatkowej opłaty. Google ujawniło właśnie kulisy działalności firmy Videostrong, która produkowała urządzenia z Android TV i Google TV. Według ustaleń technologicznego giganta producent celowo umieszczał w nich furtkę umożliwiającą instalowanie złośliwego oprogramowania.

Żeby było zabawniej, część urządzeń była oficjalnie certyfikowana przez Google. Najwyraźniej znaczek potwierdzający zgodność z wymaganiami firmy nie przeszkadzał w dorzuceniu do oprogramowania małego prezentu dla cyberprzestępców.

Producent sprzedawał sprzęt. Dostęp do niego najwyraźniej też

Złośliwy mechanizm, nazwany XCPE, był zaszyty bezpośrednio w oprogramowaniu urządzeń. Umożliwiał zdalne instalowanie kolejnych modułów malware, wykorzystywanych między innymi do oszustw reklamowych i przekierowywania ruchu internetowego przez łącza niczego nieświadomych użytkowników.

Według Google nie był to przypadkowy błąd programisty ani samowolka jednego pracownika. Firma uważa, że Videostrong świadomie stworzył i utrzymywał zaplecze pozwalające zarabiać na udostępnianiu dostępu do urządzeń. Cały proceder miał trwać przez lata i obejmować różne modele oraz marki.

W efekcie botnet XCPE objął ponad 1,3 miliona przystawek i innych urządzeń, wykrytych w ponad 200 krajach. Szczególną uwagę zwrócono na sprzęt związany z marką Mecool, choć nie oznacza to, że każdy produkt tej firmy był zainfekowany.

Co więcej, usunięcie złośliwego oprogramowania nie musiało rozwiązywać problemu. Backdoor mógł odtworzyć się po ponownym uruchomieniu urządzenia, ponieważ jego kopia znajdowała się w partycji systemowej producenta.

To dopiero wygoda. Nie trzeba pamiętać o aktualizacjach, instalowaniu dodatkowych aplikacji ani nawet klikaniu podejrzanych linków. Wirus już czekał w pudełku, gotowy do pracy.

Google w końcu zatrzasnęło drzwi. Po kilku latach

Google wraz z firmami zajmującymi się cyberbezpieczeństwem i japońskimi organami ścigania przeprowadziło operację wymierzoną w infrastrukturę botnetu. Zablokowano domeny i serwery wykorzystywane do zarządzania zainfekowanymi urządzeniami oraz dystrybucji dodatkowego malware.

Według szacunków Google działania te mogą również odciąć przestępcom dostęp do co najmniej 10 milionów kolejnych zainfekowanych urządzeń, wykorzystywanych przez powiązane grupy.

Videostrong i powiązane z nim podmioty zostały wykluczone z produkcji certyfikowanych urządzeń z Androidem oraz dostarczania oprogramowania innym certyfikowanym producentom.

Google przyznało też, że przestępcy wykorzystywali lukę w procedurach certyfikacyjnych. Złośliwy kod był ukrywany przed testami i uruchamiany dopiero po pierwszym starcie urządzenia. Firma zapowiada zaostrzenie kontroli oprogramowania.

Samo wyłączenie serwerów nie oznacza jednak, że niebezpieczny kod automatycznie zniknął z już sprzedanych przystawek. Dlatego właściciele potencjalnie dotkniętych urządzeń powinni sprawdzić informacje o swoim modelu i dostępność bezpiecznego oprogramowania.

Cała historia jest pięknym podsumowaniem współczesnego rynku elektroniki. Google certyfikowało sprzęt, producent dorzucał backdoora, przestępcy zarabiali, a klient płacił za prąd i internet. Prawdziwie innowacyjny model biznesowy. Szkoda tylko, że użytkownik nie został zaproszony do podziału zysków.