Bolo infikovaných viac než 1,3 milióna Android zariadení. Google tvrdí, že výrobca do nich zadné vrátka vložil zámerne

Viac než 1,3 milióna Android zariadení sa dostalo k zákazníkom už so škodlivým kódom XCPE vo firmvéri. Väčšinou išlo o Android TV boxy a Google tvrdí, že zadné vrátka do nich zámerne nasadil ich čínsky výrobca Videostrong Technology.

Google Threat Intelligence Group oznámil, že proti infraštruktúre XCPE zasiahol spolu s bezpečnostnými firmami a japonskou políciou. Malvér si pritom majitelia nestiahli z internetu. V zariadeniach bol už pri predaji.

Videostrong Technology vyrába Android zariadenia aj pre ďalšie značky ako OEM a ODM dodávateľ. Google tvrdí, že nešlo o chybu vo výrobe. XCPE mala firma vyvinúť a prevádzkovať zámerne, aby na už predaných zariadeniach ďalej zarábala.

Po odstránení sa XCPE vedel obnoviť z OEM partície

Google našiel XCPE priamo v systémovom firmvéri. Jeho hlavný komponent vystupoval pod názvom x.cpe alebo com.oemservice a bežal s oprávneniami android.uid.system.

Po zapnutí boxu kontroloval priečinok /oem/ a svoj komponent nainštaloval do /data/app/. Pôvodná kópia pritom zostávala v OEM partícii. Ak niekto nainštalovaný komponent odstránil, XCPE sa po ďalšom štarte mohol vrátiť.

Súvisí s tým

Viac než 50 aplikácií z Google Play skrývalo trojan Joker, ktorý ťa prihlasuje k plateným službám. Nové varianty zasiahli 187-tisíc zariadení

OdporúčameZ 1080p na QHD: Oplatí sa naháňať 4K aj na malom displeji notebooku?

Podobné zariadenia sa objavili aj v botnete Kimwolf. Pri XCPE však Google tvrdí, že zadné vrátka nasadil samotný výrobca.

XCPE vedel snímať obrazovku, simulovať klávesy a spúšťať príkazy

Google pri analýze XCPE zachytil príkazy na snímanie obrazovky, simulovanie stlačení klávesov aj získavanie údajov o účtoch, zariadení, aplikáciách a systémových logoch.

Operátori mohli cez shell spúšťať príkazy a skripty. Malvér podporoval aj reverzný shell, prehľadával lokálnu sieť a cez trvalé MQTT spojenie komunikoval s riadiacimi servermi.

Na diaľku mohli do boxu inštalovať ďalšie APK súbory a spúšťať nové moduly. Google našiel aj funkciu, ktorá dokázala vypnúť kontrolu aplikácií cez Google Play Protect.

XCPE menil napadnuté boxy na rezidenčné proxy

XCPE zapájal napadnuté boxy do rezidenčných proxy sietí. Cudzia internetová prevádzka potom odchádzala cez pripojenie a verejnú IP adresu majiteľa zariadenia bez jeho vedomia.

Podľa Googlu Videostrong poskytoval prístup k týmto zariadeniam aj ďalším skupinám, ktoré si do nich nahrávali vlastné moduly. Na jednom boxe ich mohlo bežať viacero súčasne.

Časť z nich slúžila na reklamné podvody. Na pozadí načítavali webové stránky, generovali reklamné zobrazenia alebo simulovali interakcie. Iné moduly otvárali ďalší prístup do zariadenia a umožňovali nasadiť nový škodlivý kód.

Reputáciu domácej IP adresy možno overiť aj cez verejne dostupné databázy podozrivých IP adries.

Videostrong obišiel kontrolu Googlu tým, že malvér spustil až po prvom zapnutí

Videostrong vyrábal aj Android TV boxy, ktoré prešli certifikáciou Googlu. XCPE sa však počas týchto kontrol ešte nespúšťal.

Škodlivý kód sa načítal až po prvom spustení zariadenia, teda po absolvovaní certifikačného procesu.

Google po odhalení XCPE rozšíril kontroly integrity firmvéru pri certifikácii Android TV zariadení.

Koncom roka 2024 dostal XCPE samostatný loader, v roku 2026 pribudli nové droppery

Koncom roka 2024 operátori oddelili od x.cpe časť, ktorá načítavala ďalší škodlivý kód. Túto úlohu prevzal samostatný loader com.abc.nexus, zatiaľ čo x.cpe zostal napojený na riadiacu infraštruktúru.

V auguste 2026 pribudli ďalšie droppery s názvami pripomínajúcimi systémové aplikácie Androidu, napríklad com.android.system.ntp alebo com.android.sso.auth.handler.

Google v nich našiel aj natívny kód schopný reštartovať ADB s oprávneniami root, otvoriť ADB shell a skopírovať škodlivý komponent do systémovej partície.

Malvér sa dostal aj do telemedicíny, karaoke systémov a digitálnych obrazoviek

Prevažnú väčšinu zariadení v botnete tvorili Android TV boxy. Google však XCPE našiel aj v telemedicínskych zariadeniach, karaoke systémoch a digitálnych informačných obrazovkách.

Podľa partnerov zapojených do zásahu sa kompromitované zariadenia nachádzali vo viac než 200 krajinách.

Rovnaké servery používalo viac než tucet ďalších rodín malvéru

Google zasiahol proti doménam a serverom, cez ktoré operátori XCPE ovládali zariadenia a posielali do nich ďalšie moduly. Rovnakú infraštruktúru používalo aj viac ako tucet ďalších rodín malvéru.

Podľa odhadu Googlu vyradenie týchto serverov odrezalo útočníkom prístup k najmenej ďalším 10 miliónom kompromitovaných zariadení. Ďalšie rodiny malvéru sa k nim dostali inými cestami, no pri komunikácii používali rovnaké riadiace domény.

Google vyradil Videostrong z certifikovaného Androidu

Google s Videostrongom ukončil spoluprácu a zakázal firme aj jej budúcim dcérskym spoločnostiam a pridruženým subjektom vyrábať či predávať certifikované Android zariadenia. Videostrong zároveň nesmie dodávať softvér ďalším výrobcom zapojeným do certifikačného programu Googlu.

Na odstavení infraštruktúry sa podieľala japonská National Police Agency spolu so spoločnosťami Lumen, HUMAN Security, Plume, Synthient a TrendAI.

Vypnutím riadiacich serverov XCPE zo zariadení nezmizol. Kód zostáva vo firmvéri a ak niekto odstráni jeho nainštalovaný komponent, po reštarte sa môže z OEM partície obnoviť.

Infekciu možno odstrániť nahratím čistého firmvéru, ak je pre konkrétny model dostupný. Ak takáto možnosť nie je, zariadenie treba odpojiť od internetu. Pri lacnom TV boxe bez podpory výrobcu môže byť najjednoduchším riešením jeho výmena.