По оценке Google, с высокой степенью уверенности вредоносный бэкдор был намеренно разработан и внедрён китайской компанией Videostrong Technology, выпускающей устройства под брендом Mecool, для получения прибыли. Бэкдор встраивался непосредственно в прошивку на этапе производства, что позволило обойти сертификационные проверки Google: вредоносный код активировался после первой загрузки устройства пользователем.

Функциональность бэкдора, скрытого под именами x. cpe или com. oemservice и работающего с системными привилегиями, была широкой: удалённая установка приложений без ведома владельца, отключение Google Play Protect, выполнение shell-команд, создание скриншотов, перехват нажатий клавиш и сбор данных об аккаунтах и устройстве.

Videostrong продавала доступ к заражённым устройствам криминальным "партнёрам", которые загружали собственные модули для рекламного мошенничества и превращения приставок в узлы резидентных прокси-сетей, маршрутизируя через домашние IP-адреса пользователей сторонний трафик.

Google разорвала отношения с Videostrong и запретила компании и её будущим аффилированным структурам выпускать сертифицированные Android-устройства или поставлять ПО другим сертифицированным производителям. Однако ликвидация инфраструктуры не удаляет вредоносный код с уже проданных устройств: бэкдор сохраняется в защищённом разделе прошивки и восстанавливается после перезагрузки.

💎 Кейс Videostrong - это не история о взломе извне, а пример того, как производитель сам превращает устройство в инструмент киберпреступности ещё до того, как оно попадает в руки покупателя. Если управляющая инфраструктура, относящаяся к вредоносной кампании, будет вновь запущена, ботнет вновь «проснётся»: код никуда не делся с приставок, и достаточно одного сервера, чтобы вернуть их под контроль. История наглядно демонстрирует, насколько незащищённым может быть рядовой пользователь в современном цифровом мире: вредоносным может оказаться буквально любое цифровое устройство, попадающее в наши дома, - даже то, что имеет сертификат соответствия и продаётся на легальной площадке. ||

--

✓ подписка на канал abloud62 в Tg | зеркало канала - в Max

--

теги: ИБ информационная безопасность бэкдоры ТВ-приставки айти

--