Október végén sikerült átvenni az irányítást egy több mint 1,3 millió Android-eszközből – főleg TV set-top boxokból – álló botnet szerverei felett egy, a Google által vezetett akcióban. A Google közlése szerint nagy bizonyossággal állítja, hogy a Videostrong nevű gyártó szándékosan épített hátsó kaput ezekbe a boxokba, majd a hozzáférést bűnözőknek adta el.

A bűnözők a boxokat hirdetési csalásra használták, illetve arra, hogy mások internetforgalmát a tulajdonosok otthoni kapcsolatán keresztül vezessék át. A hátsó kapu továbbra is ott van az eszközökön, a tulajdonosok nem tudják saját maguk eltávolítani.

A kínai Sencsenben működő Videostrong Android TV boxokat és más eszközöket gyárt saját márkanév alatt és más márkák számára is. Az x.cpe nevű hátsó kaput több éven át számos modellbe és márkába beépítették. A Google nem tartja valószínűnek, hogy egy „renitens” belső ember vagy véletlen hiba okozta volna a problémát.

A Google jogi eszközökkel érte el, hogy lekapcsolják a botnetet irányító domaineket és szervereket. Emellett több mint egy tucat, a hátsó kapun keresztül betöltött malware-család vezérlődomaineit is kiütötte. Az akcióban a japán Nemzeti Rendőrség, a Lumen, a HUMAN Security, a Plume, a Synthient és a TrendAI is együttműködött a Google-lel.

Mivel a bűnözők ezeket a malware-eket más csatornákon is terjesztették, a Google arra számít, hogy a mostani lépés legalább további 10 millió fertőzött eszközt vág el tőlük. Ugyanakkor figyelmeztet: a hátsó kapuk üzemeltetői és a tőlük vásárló bűnözők gyorsan új eszközökre váltanak, ha a rendszerük egy részét megzavarják.

A Google megszakította az együttműködést a Videostronggal. Kitiltotta a céget – és minden jövőbeli leányvállalatát vagy partnerét – a minősített Android-eszközök gyártásából és értékesítéséből, valamint attól is, hogy szoftvert szállítson más minősített gyártóknak.

Mit tudott a hátsó kapu?

A Google elemzése szerint az x.cpe hátsó kapu firmware-szinten, rendszeralkalmazásként fut, rendszerjogosultságokkal. Jelent a botnet parancs- és vezérlőszervereinek (C2), majd várja az utasításokat. Ahhoz, hogy észrevétlenül telepíthessen szoftvert, először kikapcsolja a Google Play Protect alkalmazás-ellenőrzéseit, vagyis az Android beépített biztonsági funkcióját.

A hátsó kapun keresztül a botnet üzemeltetői úgy tudtak alkalmazásokat telepíteni, hogy a tulajdonos erről semmit sem vett észre, parancsokat futtathattak, képernyőképeket készíthettek, és feltérképezhették a boxhoz tartozó hálózatot.

A Google szerint látták is, ahogy a Videostrong üzemeltetői kihasználják ezeket a lehetőségeket. Élő képernyőképeket készítettek, billentyűleütéseket küldtek, kimásolták a fiókadatokat, az eszközinformációkat, az alkalmazáslistákat és a rendszerlogokat, valamint reverse shellt nyitottak, ami távoli parancssoros hozzáférést ad a boxhoz.

A legtöbb bűnözői modul – vagyis a hátsó kapun keresztül betöltött kiegészítő program – lakossági proxyvá alakította a boxokat, vagy a fölösleges sávszélességet árulta. A lakossági proxy szolgáltatás otthoni internetkapcsolathoz ad hozzáférést, így az ügyfél forgalma úgy néz ki, mintha egy átlagos háztartásból érkezne. Más modulok online hirdetések megtekintését hamisították.

Most fertőzött eszköz Android TV set-top box, de a hátsó kaput telemedicinás eszközökön, karaoke gépeken és digitális kijelzőkön is megtalálták.

A Trend Micro vállalati üzletága, a TrendAI június 3. és október 1. között 1 472 554 fertőzött eszközt számolt össze 206 modellből, és szerintük a valós szám legalább ennyi. A legtöbb fertőzött eszköz Malajziában, Brazíliában, Irakban, Mexikóban és Tajvanon volt. Az Egyesült Államokban, Németországban, az Egyesült Királyságban, Ausztráliában és Kanadában egyenként nagyjából 26–42 ezer érintett eszközt találtak.

Mit tehetnek a tulajdonosok?

A proxy hálózatokat és botneteket figyelő Synthient közzétette 182 érintett eszközmodell nevét. A lista külön figyelmeztet, hogy önmagában a modellnév még nem bizonyítja, hogy az adott box fertőzött.

A Synthient jelentése a MECOOL márkájú boxokra koncentrál, amelyeket a Videostronghoz köt. Vásároltak egy MECOOL KM9PRO Maxot, és a hátsó kaput előre telepítve találták rajta. A szolgáltatóknak Wi-Fi szoftvert fejlesztő Plume több mint egy tucat különböző eszközt azonosított, amelyek a botnet vezérlőszerveréhez kapcsolódtak, többségük MECOOL márkájú volt.

Mivel az x.cpe a firmware része, nem lehet tartósan eltávolítani: újraindítás után visszatelepedik. A TrendAI szerint a hátsó kapu rendszeralkalmazásként fut, a gyártó kulcsával aláírva, ezért a takarításhoz „gyártói beavatkozásra, platformszintű védelemre vagy az eszköz cseréjére” van szükség.

A Plume teljes gyári visszaállítást javasol, mert a modulok további hátsó kapukat is telepíthettek, de nem írja le egyértelműen, hogy a reset eltávolítja-e magát az x.cpe-t. A Synthient ennél is tovább megy: azt tanácsolja a fogyasztóknak, hogy végleg dobják ki ezeket a boxokat, mert magas a kártevőkockázatuk.

Szervezeteknek a Synthient az alábbi lépéseket ajánlja:

• Használják a közzétett indikátorokat, hogy megtalálják a hálózaton a MECOOL vagy hasonló eszközöket.
• Húzzák le a hálózatról, és dobják ki az összes ilyet.
• Tiltsák a jelentésben felsorolt vezérlő domaineket és IP-címeket.
• A többi okoseszközt külön hálózati szegmensekre tegyék, távol az érzékeny rendszerektől.

A TrendAI azt tanácsolja a távmunkásokat foglalkoztató cégeknek, hogy a felügyelet nélküli otthoni fogyasztói eszközöket is tekintsék a támadási felület részének, és a vállalati hozzáférést csak felügyelt eszközök mögé engedjék.

Hogyan azonosították a Videostrongot

A Google beszámolója szerint az x.cpe a C2 szervertől kapott beállításokat továbbítja más Videostrong-alkalmazásoknak, köztük a YokaTV Player streaming appnak. A botnet csomagjait tároló GitHub-fiókok egyike az yf-videostrong nevet viselte.

A Google-lel együtt dolgozó Synthient is nagy bizonyossággal arra jutott, hogy a Videostrong irányítja a műveletet. Egy, a botnet egyik szerverén nyitva hagyott mappában talált dokumentumra hivatkozik, amelyet a Videostrong kutatás-fejlesztési igazgatója írt alá, valamint egy Videostrong webes domainre, amely ugyanazon az IP-címen fut, mint az üzemeltetők vezérlőpanelje.

A Plume azt állapította meg, hogy a Videostrong nemcsak ezeknek az eszközöknek a firmware-ét szállítja, hanem a távoli menedzselésükhöz használt eszközöket is.

Rés a Google eszköztesztjein

A Google előírja az eszközgyártóknak, hogy kompatibilitási és biztonsági tesztek sorát futtassák le. A cég szerint a Videostrong elrejtette a kódját, hogy kihasználjon egy rést ezekben a tesztekben, majd a kártékony kódot csak az eszköz első indítása után töltötte be.

A Google módosította az ellenőrzési folyamatát, és szigorítja a tanúsított Android TV eszközök firmware-ének vizsgálatát.

November 2-án a Videostrong saját weboldalán még olyan termékek szerepeltek, amelyeket „Google Certified Android TV Box” és „Google Certified Android TV Stick” néven hirdetett.

A Plume szerint a botnetben egyaránt voltak Google által tanúsított eszközök és az Android Open Source Project (AOSP) verzióját futtató készülékek. A Google jelentése nem részletezi, hány tanúsított eszközt érintett a támadás. Amikor a Google 2025 júliusában pert indított a BadBox 2.0 botnet miatt, a több mint 10 millió érintett eszköz mind tanúsítatlan volt.