Tanie odtwarzacze z Androidem zainfekowane groźnym backdoorem. Pozbądź się tego z domu

Badacze z zakresu bezpieczeństwa wykryli złośliwe oprogramowanie w tanich urządzeniach do przesyłania strumieniowego. Zagrożenia tego nie da się usunąć.

Tanie urządzenia z Chin mogą zmienić sieć domową w centrum hakerów.

W styczniu ujawniono, że oparte na systemie Android urządzenia zostały zainfekowane backdoorem, przed ich dostarczeniem do sprzedawców detalicznych. Jednak najnowsze badania sugerują, że ten problem może być znacznie bardziej rozpowszechniony niż pierwotnie przypuszczano.  Firma Human Security ogłosiła, że odkryła kolejnych siedem urządzeń do przesyłania strumieniowego opartych na Androidzie, które także miały podobne backdoory do tych znalezionych w przypadku T95. Odkryto również jeden tablet oraz wykryto potencjalnie zagrożenie w ponad 200 innych modelach urządzeń z systemem Android. Badacze namierzali te urządzenia i znaleźli je w różnych miejscach, włączając w to domy, szkoły i firmy w Stanach Zjednoczonych. W trakcie śledztwa ujawniono i zlikwidowano również oszustwo reklamowe, które prawdopodobnie finansowało tę przestępczą operację. 

Tysiące tanich urządzeń do przesyłania strumieniowego z systemem Android jest zainfekowanych backdoorem, aktywnie podłączonym do serwerów dowodzenia i kontroli (C2) w Chinach. Są to urządzenia sprzedawane również na naszym rynku.  

Badacze twierdzą, że hakerzy mogli zainstalować backdoora po wyprodukowaniu urządzeń w fabryce, ale przed ich dotarciem do sprzedawców. Jedyne oznaczenia identyfikacyjne na tych urządzeniach to numery modeli, a nie nazwy, takie jak oryginalne T95, T95Z, T95MAX, X88, Q9, X12PLUS i MXQ Pro 5G. Tablety z Androidem są po prostu identyfikowane jako J5-W. Szkodliwe oprogramowanie wykorzystuje Triadę, która była znana od 2016 roku. To oprogramowanie nieznacznie modyfikuje system operacyjny Android, umożliwiając dostęp do zainstalowanych aplikacji. Następnie nawiązuje połączenie z centralą kontrolną (C2) w Chinach.

„Bez wiedzy użytkownika, po podłączeniu tego urządzenia trafia ono do centrum dowodzenia i kontroli (C2) w Chinach, pobiera zestaw instrukcji i zaczyna robić mnóstwo złych rzeczy” – mówi Reid z firmy Human Security. Hakerzy sprzedawali również dostęp do zainfekowanych sieci domowych, który mógłby zostać wykorzystany jako serwer proxy do nielegalnej działalności. Przestępcy podobno mają dostęp do ponad 10 milionów adresów IP domowych i siedmiu milionów adresów IP mobilnych. Choć huby C2, które były z nimi połączone, zostały usunięte, to jednak złośliwe oprogramowanie wciąż pozostaje i można je ponownie aktywować na nowych serwerach.