Google заявила о ликвидации ботнета x.cpe, который в пиковый момент работал более чем на 1,3 млн Android TV-приставок. Самое неприятное в этой истории — заражённые устройства имели сертификацию Google: вредоносный код прятался не в сомнительной прошивке с рынка, а обходил проверку производителя и устанавливался уже после подключения приставки к сети.
По данным Ars Technica, Google разорвала отношения с китайской Shenzhen-based Videostrong Technology, чьи устройства, в основном под брендом MECOOL, оказались частью схемы. Компании и её дочерним структурам запретят использовать приложения и сервисы Google. Для рынка это не просто очередная история о вредоносном ПО: сертификация Android-устройства не гарантировала, что его цепочка поставки не превратится в точку входа для оператора ботнета.
Google Threat Intelligence Group называет сеть x.cpe модульной вредоносной платформой. Изначально она выглядела как простой загрузчик, но затем выросла в трёхэтапную систему, доступ к которой, по оценке исследователей, продавался третьим лицам. На заражённых приставках работало приложение с именем x.cpe или com.oemservice. Само по себе оно не выполняло вредоносных действий, зато обладало системными разрешениями для установки нужных модулей по удалённой команде.
Ключевой элемент схемы — бэкдор, позволявший доставить компоненты уже после первичной настройки устройства. Это помогло обойти сертификационную проверку: в момент инспекции опасный функционал мог просто отсутствовать. После выхода приставки в интернет служебное приложение связывалось с управляющей инфраструктурой и отключало Play Protect, который в обычном сценарии должен был обнаружить подозрительные пакеты.
Большинство заражённых устройств использовались как резидентские прокси: через домашние подключения маршрутизировался подозрительный трафик. Другие модули занимались рекламным мошенничеством. Операторы при этом сохраняли значительно более широкий доступ к приставкам — могли выполнять команды в терминале, делать снимки экрана и исследовать другие устройства в локальной сети. Google утверждает, что наблюдала такую активность в реальном времени. Для домашней техники это особенно чувствительный набор возможностей: Android TV-бокс часто живёт рядом с роутером, ноутбуками, смартфонами и рабочими устройствами на удалёнке.
В операции по отключению инфраструктуры участвовали Национальное полицейское агентство Японии, Synthient и Trend Micro. Google сообщила о юридических действиях против доменов и серверов, через которые Videostrong управляла заражёнными устройствами и устанавливала модули. Под удар также попали управляющие серверы, связанные с другими кампаниями. По оценке Google, Videostrong лишилась доступа примерно к 10 млн скомпрометированных устройств; речь идёт о более широком наборе кампаний, а не только о ботнете x.cpe.
У исследователей расходятся оценки масштаба именно этой сети. Google говорит о более чем 1,3 млн Android TV-устройств, тогда как Trend Micro насчитала 1 472 554 заражённых устройства. Основная масса находилась в Бразилии, Малайзии, Ираке, Мексике и на Тайване, но десятки тысяч устройств были доступны из США, Германии, Великобритании, Австралии и Канады. География важна и для российского рынка: приставки под неизвестными брендами и white-label-модели обычно продаются через несколько посредников, а происхождение железа покупатель видит уже после того, как коробка приехала домой.
Полностью безопасными затронутые устройства пока назвать нельзя. Google пишет, что Play Protect на них остаётся отключённым, а неактивные компоненты вредоносного ПО всё ещё установлены как системные приложения — удалить их обычному пользователю непросто. Владельцам MECOOL и безымянных Android TV-приставок имеет смысл сверить точную модель со списком Synthient и не воспринимать восстановление доступа к сервисам Google как полноценную очистку устройства.
Google обещает изменить процедуру сертификации, чтобы закрыть обнаруженную лазейку. Но Android остаётся открытой платформой, а рынок дешёвых телевизионных приставок — особенно удобным местом для производителей, которым не нужны ни приложения Google, ни её логотип на коробке. Закрытие текущей инфраструктуры заставит операторов начинать заново, однако главный вопрос остаётся прежним: как проверять не только прошивку в день сертификации, но и то, что производитель способен незаметно доставить на устройство через месяц после продажи. Подробнее о расследовании — .
