Евтините Android TV боксове се оказаха заразени със зловреден софтуер

Google прекъсна партньорството си с производителя на Android TV боксове Videostrong Technology поради обвинения, че компанията предварително е инсталирала задна врата (backdoor) в над 1,3 милиона устройства. Наречена XCPE, задната врата е използвала техники за обфускация (скриване на кода), за да заобиколи процеса на проверка на Google, включвайки заразените устройства в масивна ботнет мрежа.

Зловредният код беше открит във фърмуера на редица устройства на Videostrong, като Mecool KTI, както и в няколко Android TV бокса, произведени за други компании под техни собствени марки. Изследователският екип на Synthient – базирана в Сиатъл компания за киберсигурност и разследване на измами, която заедно с Google анализира зловредния софтуер – твърди, че е идентифицирал поне 182 различни модела, заразени с въпросната задна врата и включени в ботнета.

Според информацията зловредният софтуер е използвал уязвимост във фърмуера на Android TV боксовете, за да зареди зловреден код още при първоначалното включване на устройствата. Първоначално разпространяван през 2024 г. като опростен едноетапен дропър, зловредният софтуер е бил преработен от Videostrong през следващите години с модулна, триетапна архитектура, което го прави по-устойчив и позволява монетизация от множество участници.

Освен в Android декодерите, зловредният софтуер е открит и в редица други продукти на Videostrong, включително устройства за телемедицина, караоке системи и цифрови билбордове. Задната врата прилага различни техники за маскиране, за да заобиколи сертификационните тестове на Google, и деактивира Play Protect – вградения инструмент за сигурност, осигуряващ защита от зловреден софтуер в реално време за Android устройствата.

Според екипа на Google за анализ на заплахите (Threat Intelligence Group) заразените устройства са били интегрирани в глобална ботнет мрежа. Тя е позволявала на киберпрестъпниците да извършват рекламни измами, да крадат данни, да правят екранни снимки, да прихващат натиснатите клавиши и да отварят отдалечени командни шел-среди. Компрометираните устройства са били използвани и като прокси мрежи за пренасочване на неразрешен трафик към контролните сървъри на престъпниците.

Обяснявайки ролята на Videostrong в разпространението на задната врата XCPE, от Google заявиха, че са открили зловредния софтуер в моделни серии на различни брандове, а разпространението му е било подкрепено от специализирана инфраструктура. От компанията добавиха, че задната врата е проектирана да се развива през целия си жизнен цикъл, променяйки характеристиките си за избягване на откриването, докато същевременно привлича все повече устройства към бързо разрастващия се ботнет.

Важно е да се отбележи, че макар Google да оценява общия брой на засегнатите устройства на около 1,3 милиона, от Trend Micro твърдят, че са регистрирали общо 1 472 554 заразени устройства в САЩ, Канада, Германия, Великобритания, Австралия, Бразилия, Малайзия, Ирак, Мексико и Тайван.