Google izjauc XCPE robottīklu 1,3 miljonos Android TV kastīšu un aizliedz ražotāju

Google Draudu izlūkošanas grupa (GTIG) paziņojusi, ka kopā ar partneriem izjaukusi XCPE robottīklu, kurā bija iesaistītas vairāk nekā 1,3 miljoni Android televīzijas pierīču jeb TV kastīšu. Operācijā piedalījās Japānas Nacionālā policijas aģentūra un drošības uzņēmumi Lumen, HUMAN Security, Plume, Synthient un TrendAI.

Neparasti šajā gadījumā ir tas, ka ļaunatūru, pēc Google vērtējuma, ierīcēs apzināti iebūvējis pats ražotājs. Uzņēmums ar augstu pārliecību vaino Šeņdžeņas ierīču ražotāju Videostrong Technology, kas izstrādā Android TV kastītes un projektorus. Pēc Google teiktā, Videostrong pelnījis, pārdodot piekļuvi inficētajām ierīcēm noziedznieku partneriem, kuri tajās ielādēja savus ļaunatūras moduļus.

Šie moduļi ierīces izmantoja reklāmu krāpniecībai, bez īpašnieku ziņas pārvērta tās par tā sauktajiem dzīvojamo IP adrešu starpniekserveriem, caur kuriem citi var slēpt savu datplūsmu, kā arī instalēja vēl citu ļaunatūru. Ars Technica raksta, ka daudzas inficētās kastītes tika pārdotas ar zīmolu MECOOL un tās bija Google sertificētas, jo aizmugurējās durvis ļaunatūru ielādēja tikai pēc tam, kad ierīce jau bija pieslēgta internetam.

Google ar tiesas palīdzību panācis domēnu un serveru slēgšanu, no kuriem robottīkls tika vadīts, kā arī vairāk nekā duca saistītu ļaunatūras saimju vadības domēnu slēgšanu. Uzņēmums lēš, ka tādējādi tiks pārtraukta piekļuve vēl vismaz 10 miljoniem citu inficētu ierīču. Google ir pārtraucis sadarbību ar Videostrong un aizliedzis tam un tā nākotnes meitasuzņēmumiem ražot sertificētas Android ierīces vai piegādāt programmatūru citiem sertificētiem ražotājiem.

TrendAI, kā raksta The Register, laikā no 3. jūnija līdz 1. oktobrim konstatēja vairāk nekā 3,8 miljonus atšķirīgu mājas un mobilo IP adrešu, kas bija saistītas ar operāciju. Pēc Ars Technica ziņām, TrendAI kopumā saskaitīja 1 472 554 inficētas ierīces, visvairāk Brazīlijā, Malaizijā, Irākā, Meksikā un Taivānā, bet desmitiem tūkstošu arī ASV, Vācijā, Lielbritānijā, Austrālijā un Kanādā. Inficētas bija arī citas Android ierīces, piemēram, digitālās reklāmas ekrāni un karaoke iekārtas.

Drošības eksperti brīdina, ka vadības serveru slēgšana ļaunatūru no ierīcēm neizdzēš. Aizmugurējās durvis atrodas programmaparatūrā ar sistēmas tiesībām un pēc dzēšanas pārstartējot atjaunojas, turklāt tās var izslēgt Google Play Protect pārbaudi. Malwarebytes iesaka aizdomīgu kastīti atvienot no tīkla un vērsties pie pārdevēja pēc tīras programmaparatūras vai ierīces nomaiņas. Synthient publicējis 182 skarto ierīču modeļu sarakstu.