Google ugasio mrežu od 1,3 miliona zaraženih TV boksova: Zaraza je stigla iz fabrike

Googleova grupa za analizu prijetnji (GTIG) objavila je 2. novembra da je s partnerima ugasila infrastrukturu preko koje je mreža upravljana. Kompanija s velikom sigurnošću tvrdi da su skrivena vrata (backdoor) i botnet namjerno razvili i vodili ljudi iz kompanije Videostrong Technology, proizvođača Android TV uređaja, radi zarade. „Ne vjerujemo da je ovo bio pojedinac iz kompanije ili propust u razvoju“, navodi Google.

Šta su zaraženi boksovi radili bez znanja vlasnika

Videostrong je, prema Googleu, prodavao pristup uređajima kriminalcima, koji su na boksove instalirali svoje module. Ti moduli su lažirali pregled reklama, a uređaje su tiho pretvarali u takozvane rezidencijalne proksije: tuđi internetski promet tako je izgledao kao da dolazi iz obične kuće. Na jednom uređaju mogla su raditi i tri takva programa istovremeno.

Google je primijetio i ozbiljnije zahvate: operateri su pravili snimke ekrana uživo, unosili tekst kao da kucaju na tastaturi, izvlačili podatke o računima i uređaju te pokretali komande na boksu.

Kod je bio dio sistemskog softvera s najvišim ovlaštenjima. Ako bi ga neko i uklonio, nakon ponovnog pokretanja sam bi se vratio. Program je gasio i Google Play Protect, ugrađenu zaštitu od zlonamjernih aplikacija.

Kako su uređaji prošli Googleovu certifikaciju

Dio boksova imao je Googleov certifikat. Google priznaje da je proizvođač prikrio kod kako bi „iskoristio rupu u testovima“ i učitao zlonamjerni dio tek nakon prvog paljenja uređaja. Kompanija je zato promijenila postupak provjere proizvođača i pooštrava kontrolu firmwarea na certificiranim Android TV uređajima.

Videostrongu je zabranjeno da ubuduće pravi i prodaje certificirane Android uređaje i da drugim proizvođačima isporučuje softver. Google je pravnim putem srušio domene i servere za upravljanje mrežom, kao i servere desetak porodica zlonamjernih programa koje su se širile kroz isti backdoor. Procjena je da će time kriminalci izgubiti pristup još najmanje deset miliona zaraženih uređaja.

Kompanija TrendAI, jedan od partnera u akciji, izbrojala je od 3. juna do 1. oktobra 1.472.554 zaraženih uređaja u 206 modela, piše The Hacker News. Najviše ih je u Maleziji, Brazilu, Iraku, Meksiku i na Tajvanu, a u SAD-u, Njemačkoj, Velikoj Britaniji, Australiji i Kanadi između 26.000 i 42.000 po državi. Istraživači Synthienta kupili su boks Mecool KM9 Pro Max i u njemu pronašli backdoor već instaliran.

Šta uraditi ako imate Android TV boks

• Provjerite proizvođača. Google savjetuje kupovinu samo od poznatih proizvođača i upućuje na listu certificiranih partnera.
• Ne vjerujte samo nazivu modela. Synthient je objavio listu od 182 modela, ali upozorava da sam naziv ne potvrđuje zarazu.
• Reset nije garancija. Backdoor je u sistemskom softveru i vraća se nakon restarta. TrendAI navodi da je za čišćenje potrebna intervencija proizvođača ili zamjena uređaja, a Synthient savjetuje da se takvi boksovi odbace.
• Izbjegavajte aplikacije koje plaćaju za „neiskorišteni internet“. Google upozorava da je to čest način da uređaj postane proksi za tuđi promet.

Osim TV boksova, backdoor je pronađen i na uređajima za telemedicinu, karaoke aparatima i digitalnim reklamnim ekranima. O sličnoj, ranijoj akciji protiv mreže BadBox Google je izvještavao prošle godine.