Google вывела из строя ботнет XCPE из 1,3 млн Android-приставок

Google сообщила о ликвидации бэкдора XCPE, встроенного более чем в 1,3 млн устройств, преимущественно телевизионных приставок на Android. Компания считает, что китайский производитель Videostrong намеренно распространял вредоносное ПО и продавал доступ к зараженным устройствам сторонним операторам.

Google Threat Intelligence Group сообщила о выводе из строя ботнета XCPE, в который входило более 1,3 млн устройств. Большинство из них составляли телевизионные приставки на Android, но бэкдор также обнаружили в телемедицинском оборудовании, караоке-системах и цифровых рекламных панелях.

По данным Google, компания Videostrong Technology, выпускающая устройства и программное обеспечение для других брендов, встраивала компонент x.cpe, также известный как com.oemservice, непосредственно в системный раздел прошивки. Он работал с системными привилегиями, восстанавливался после удаления при перезагрузке и связывался с управляющей инфраструктурой по HTTP и MQTT.

Операторы могли незаметно устанавливать приложения, отключать проверку Google Play Protect, выполнять команды оболочки, делать снимки экрана, имитировать нажатия клавиш и извлекать данные. Через бэкдор загружались модули для рекламного мошенничества, подключения устройств к резидентским прокси-сетям и установки дополнительного вредоносного ПО.

Google добилась отключения управляющих доменов и серверов XCPE, а также инфраструктуры более десятка связанных семейств вредоносного ПО. Компания оценивает, что эти меры могут лишить злоумышленников доступа как минимум еще к 10 млн устройств, зараженных через другие каналы распространения.

Google прекратила сотрудничество с Videostrong и запретила компании, ее будущим подразделениям и аффилированным структурам выпускать сертифицированные Android-устройства или поставлять ПО другим сертифицированным производителям. После расследования Google также изменила процедуры проверки производителей и контроля целостности прошивок Android TV.