Google (viz cloud.google.com) odhalil rozsáhlou operaci, při níž měla čínská společnost Videostrong Technology záměrně instalovat škodlivý software do zařízení s operačním systémem Android. Více než 1,3 milionu přístrojů se kvůli tomu stalo součástí botnetu, který mohl bez vědomí jejich majitelů sloužit kyberzločincům. Většinu postižených produktů tvořily televizní boxy, problém se ale týkal také dalších zařízení připojených k internetu.
Podle zjištění skupiny Google Threat Intelligence Group (GTIG) stála za operací společnost Videostrong Technology se sídlem v čínském Šen-čenu. Jde o výrobce a dodavatele zařízení s Androidem, který měl škodlivý kód zabudovávat přímo do firmwaru svých produktů. Google uvádí, že si je velmi jistý, že nešlo o náhodnou chybu ani o aktivitu jednotlivce, ale o záměrně vytvořený systém sloužící k vydělávání peněz.
Škodlivý software označovaný jako XCPE konkrétně umožňoval vzdálené ovládání napadených zařízení. Videostrong podle Googlu prodával přístup k vytvořeným zadním vrátkům dalším kriminálním skupinám, které následně do zařízení nahrávaly vlastní škodlivé moduly. Napadený hardware tak mohl plnit různé úkoly bez vědomí svého majitele.
Jak dodává (viz timesofindia.indiatimes.com), mezi hlavní způsoby zneužití patřily reklamní podvody, získávání dat a zapojování zařízení do takzvaných rezidenčních proxy sítí, jež umožňují přesměrovávat internetový provoz přes běžná domácí připojení, takže skutečný původ komunikace je pro cílové služby obtížnější rozpoznat. Připojení nic netušících uživatelů tak mohlo být využíváno k aktivitám, se kterými by jejich majitelé nikdy nesouhlasili.
Největší část kompromitovaných zařízení představovaly Android TV boxy. Malware se však podle Googlu objevil také v dalších produktech využívajících Android, včetně karaoke systémů nebo digitálních reklamních panelů. Závažné je především to, že škodlivý kód nebyl do zařízení instalován až následným útokem na jejich majitele, ale byl součástí softwarového vybavení již při výrobě. Uživatelé proto neměli prakticky žádný důvod předpokládat, že si domů pořizují potenciálně kompromitovaný hardware.
Videostrong navíc využíval techniky zastírání škodlivého kódu, aby se vyhnul bezpečnostním kontrolám. Podle Googlu se malware do zařízení načítal až po jejich prvním spuštění, čímž výrobce dokázal obejít část kontrol, kterými musí certifikovaná zařízení s Androidem procházet.
Google ve spolupráci s dalšími technologickými a bezpečnostními společnostmi podnikl kroky k narušení celé infrastruktury botnetu. Zasáhl proti doménám a serverům, které Videostrong využíval k ovládání napadených zařízení a distribuci dalších škodlivých modulů. Na operaci se podílela také japonská Národní policejní agentura a společnosti Lumen, HUMAN Security, Plume, Synthient a TrendAI. Google zároveň ukončil spolupráci s Videostrongem a zakázal společnosti i jejím budoucím přidruženým subjektům vyrábět a prodávat certifikovaná zařízení s Androidem nebo dodávat software ostatním certifikovaným výrobcům.
Zásah měl navíc širší dopad než pouze na samotný botnet XCPE. Google odhaduje, že odstavení řídicích serverů používaných partnerskými kriminálními skupinami přeruší jejich přístup nejméně k dalším deseti milionům potenciálně kompromitovaných zařízení. Ta nemusela být všechna napadena přímo prostřednictvím Videostrongu, ale využívala infrastrukturu spojenou s dalšími škodlivými moduly.
Případ každopádně ukázal slabinu v procesu certifikace zařízení s Androidem. Videostrong dokázal využít mezery v kontrolách tak, že škodlivý kód do firmwaru načítal až po prvním spuštění zařízení. Google proto oznámil úpravy svého systému prověřování výrobců a kontroly integrity firmwaru, aby se podobný postup v budoucnu neopakoval.
