Wielki skandal z Androidem. Producent sam instalował wirusy w swoich urządzeniach

Google poinformowało o rozbiciu botnetu XCPE, do którego należało ponad 1,3 mln urządzeń. Operacja została przeprowadzona we współpracy z partnerami z branży cyberbezpieczeństwa oraz japońską policją. Jak wynika z ustaleń Google Threat Intelligence Group, za stworzenie i rozwijanie całego mechanizmu z dużym prawdopodobieństwem odpowiadała chińska firma Videostrong Technology.

To producent i projektant urządzeń z systemem Android, który miał celowo umieszczać złośliwe oprogramowanie w ich oprogramowaniu układowym (firmware). Problem dotyczył przede wszystkim przystawek Android TV, ale na liście znalazły się również inne urządzenia, m.in. sprzęt do telemedycyny, maszyny karaoke i cyfrowe wyświetlacze reklamowe.

Najbardziej niepokojące jest to, że użytkownik nie musiał niczego instalować ani klikać podejrzanych odnośników. Zagrożenie znajdowało się w urządzeniu już na etapie jego przygotowania przez producenta.

XCPE nie było zwykłym wirusem wyświetlającym reklamy. To rozbudowany mechanizm, który pozwalał zdalnie zarządzać zainfekowanymi urządzeniami i instalować na nich kolejne moduły złośliwego oprogramowania.

Sprzęt wykorzystywano przede wszystkim do trzech rodzajów działalności:

• Oszustwa reklamowe – złośliwe moduły generowały fałszywe wyświetlenia reklam i symulowały aktywność użytkowników, pozwalając zarabiać na fikcyjnym ruchu.
• Nielegalne sieci proxy – urządzenia stawały się pośrednikami w przesyłaniu ruchu internetowego. Cyberprzestępcy mogli wykorzystywać domowe adresy IP do ukrywania swojej aktywności w sieci.
• Instalowanie kolejnych wirusów – botnet umożliwiał pobieranie dodatkowego malware, które rozszerzało możliwości atakujących.

Zakres możliwości był jednak znacznie większy. Google wykryło, że operatorzy mogli wykonywać zdalne polecenia systemowe, instalować aplikacje bez wiedzy właściciela, przechwytywać zawartość ekranu, a nawet odczytywać informacje o urządzeniu i jego użytkowniku. Złośliwe oprogramowanie potrafiło również wyłączyć mechanizmy weryfikacji aplikacji Google Play Protect.

Co istotne, dostęp do zainfekowanych urządzeń nie był wykorzystywany wyłącznie przez jedną grupę. Videostrong miało udostępniać go zewnętrznym podmiotom, które instalowały własne moduły i zarabiały na przejętym sprzęcie. W praktyce zwykła przystawka telewizyjna mogła więc stać się częścią infrastruktury wykorzystywanej przez wielu cyberprzestępców.

Google nie ograniczyło się do zidentyfikowania zagrożenia. Firma poinformowała, że wspólnie z partnerami podjęła działania prawne mające doprowadzić do wyłączenia domen i serwerów wykorzystywanych do kontrolowania botnetu. Zablokowano również infrastrukturę komunikacyjną ponad kilkunastu rodzin złośliwego oprogramowania instalowanego za pośrednictwem XCPE.

Konsekwencje dotknęły także samego producenta. Google zerwało współpracę z Videostrong Technology i zakazało firmie oraz jej przyszłym spółkom zależnym produkowania certyfikowanych urządzeń z Androidem i dostarczania oprogramowania innym certyfikowanym producentom.

Skala operacji może być zresztą większa, niż sugeruje liczba 1,3 mln zainfekowanych urządzeń. Google szacuje, że odcięcie serwerów wykorzystywanych przez powiązane grupy przestępcze może dodatkowo pozbawić dostępu do co najmniej 10 mln innych przejętych urządzeń. Nie oznacza to jednak, że wszystkie należały bezpośrednio do botnetu XCPE.

Przypadek XCPE pokazuje, że zagrożenie może znajdować się w urządzeniu jeszcze przed jego zakupem. Nawet ostrożny użytkownik, który nie pobiera podejrzanych aplikacji i nie otwiera nieznanych załączników, nie zawsze jest w stanie samodzielnie uniknąć takiego problemu.

Google zaleca przede wszystkim kupowanie urządzeń podłączanych do internetu od sprawdzonych producentów, korzystanie z zaufanych sklepów z aplikacjami i kontrolowanie uprawnień przyznawanych programom. Warto również uważać na aplikacje obiecujące zarobek w zamian za udostępnianie niewykorzystanej przepustowości łącza internetowego.

Firma zapowiedziała też zmiany w procesie kontroli bezpieczeństwa urządzeń z Android TV. Dotychczasowe zabezpieczenia nie wykryły bowiem manipulacji, która pozwalała Videostrong doinstalowywać złośliwy kod już po pierwszym uruchomieniu sprzętu.