Google 1,3 milyon televiziya qutusunu əhatə edən XCPE botnetini sıradan çıxarıb

Google və sənaye tərəfdaşları Android əsaslı 1,3 milyondan çox televiziya qutusundan ibarət XCPE zərərli proqram botnetinin fəaliyyətini pozub.

"PostMedia" "Google"un Təhdid Kəşfiyyatı Qrupunun (GTIG) hesabatına istinadən xəbər verir ki, şirkət botneti yüksək əminliklə Çinin "Videostrong Technology Co" istehsalçısına aid edir. Google iddia edir ki, istehsalçı cihazlara zərərli proqramı qəsdən yükləyib və kibercinayətkar tərəfdaşlara bu cihazlara giriş imkanı satıb.

Tərəfdaşlar arxa qapı quraşdırılmış cihazlardan reklam saxtakarlığı üçün istifadə edib, onları yaşayış proksilərinə çevirib və əlavə zərərli proqramlar yükləyib.

Əməliyyat çərçivəsində Google XCPE-yə əlaqəli on ikidən çox zərərli proqram ailəsinin istifadə etdiyi idarəetmə (C2) serverlərini sıradan çıxarıb. Bununla başqa üsullarla yoluxdurulmuş ən azı 10 milyon əlavə cihazın serverlərə çıxışı kəsilib. Bu cihazlara pərakəndə satılan set-top qutular, karaoke aparatları və telesağlamlıq avadanlıqları daxildir. Google bildirir ki, onların hamısı Android cihazı deyil.

Şirkət "Videostrong"la əməkdaşlığı dayandırıb, onun Google tətbiq və xidmətləri quraşdırılmış Android TV cihazları istehsal etmək lisenziyasını ləğv edib. Həmçinin "Videostrong"un və gələcək tərəfdaşlarının sertifikatlı Android cihazları istehsal etməsinə, sertifikatlı istehsalçılara proqram təminatı verməsinə qadağa qoyulub.

Əməliyyatda Yaponiya Milli Polis Agentliyi, eləcə də "Lumen", "HUMAN Security", "Plume", "Synthient" və "TrendAI" şirkətləri iştirak edib. Onlar zərərli infrastrukturu birgə təhlil edib və fəaliyyətini pozub.

Digər botnetlərdən fərqli olaraq, XCPE zəiflikləri istismar etməklə və ya istifadəçiləri aldadaraq yayılmayıb. Zərərli proqram istehsal zamanı birbaşa cihazların proqram təminatına (firmware) yerləşdirilib. Google-un sözlərinə görə, "Videostrong" bunu bir neçə cihaz brendi və modelində illər boyu davam etdirib.

Əsas arxa qapı komponenti Android sisteminin səlahiyyətləri ilə işləyib. Yoluxmuş cihaz işə düşəndən sonra idarəetmə serverinə qoşulub, komandaları qəbul etmək üçün MQTT mesaj brokerinin giriş məlumatlarını alıb. Bu yolla operatorlar cihazları uzaqdan idarə edib və onlara başqa zərərli proqramlar yükləyib.

Cihazlar həm də başqa operatorlara aid modulların quraşdırılması ilə gəlir əldə etmək üçün istifadə olunub. Bu modullar arasında "Linkfog", "AppSalt"/"Honeygain", "GaGaNode", "NetNut" və "Traffmonetizer" kimi yaşayış proksi xidmətləri ilə əlaqəli proqramlar olub. Onlar üçüncü tərəfin internet trafikini cihaz sahiblərinin xəbəri və razılığı olmadan yoluxmuş cihazlar vasitəsilə yönləndirib. Digər modullar reklam göstərişləri yaradıb, gizli veb səhifələri yükləyib və reklamlara klik edib. Bəziləri isə "Moyu", "Spirit" və "Bird" arxa qapılarını quraşdırıb.

GTIG-in məlumatına görə, operatorlar aşkarlanmamaq üçün zərərli proqramın arxitekturasını daim dəyişib. 2024-cü ilin sonunda "Videostrong" ayrıca yükləyicidən istifadə etməyə başlayıb. 2026-cı ilin avqustundan isə bu yükləyicini Android sistem tətbiqləri kimi maskalanmış daha kiçik və ixtisaslaşmış yükləyicilərlə əvəz edib.

Ayrıca hesabat yayımlayan "Synthient" şirkəti XCPE-ni "Videostrong"a necə bağladığını izah edib. Tədqiqatçılar zərərli proqramı 2025-ci ilin sonunda alınmış MECOOL KM9PRO Max Android TV qutusunda aşkar edib. Onların məlumatına görə, "Videostrong"un domeni idarəetmə serveri ilə eyni IP ünvanına yönləndirilib, arxa qapılar isə şirkətin bir sıra işçi e-poçt ünvanları ilə imzalanıb.

"Hesab edirik ki, bu kampaniya təsadüfi daxili pozuntu və ya proqramlaşdırma səhvi deyildi", — deyə Google bildirib.

Şirkət sertifikasiya yoxlama prosesini də dəyişdirib. Google-un məlumatına görə, "Videostrong" təhlükəsizlik testlərindən yayınmaq üçün gizlətmə üsullarından istifadə edib və zərərli kodu cihaz ilk dəfə işə düşəndən sonra yükləyib.

Əməliyyat XCPE-nin fəaliyyətini pozsa da, zərərli proqram yoluxmuş cihazlardan silinməyib. Silinərsə, /oem/ bölməsindən avtomatik yenidən quraşdırılır. Buna görə istifadəçilər ya təmiz proqram təminatı quraşdırmalı, ya da zərərli fəaliyyətin qarşısını almaq üçün cihazı internetdən ayırmalıdır.