Google și partenerii au desființat botnet-ul XCPE

Unde era ascuns backdoor-ul?

Google și partenerii din industrie au desființat botnet-ul XCPE, o operațiune cibernetică la scară mare care a compromis aproximativ 1,3 milioane de box-uri Android și dispozitive IoT. Atacul a folosit un backdoor plantat de Videostrong, producător de dispozitive Android, pentru a construi infrastructura criminală.

Botnet-ul a exploatat o vulnerabilitate în dispozitivele Videostrong, permițând atacatorilor să preia controlul neautorizat. Criminalii au folosit acest acces pentru a lansa atacuri suplimentare, inclusiv generare de trafic DDoS și exfiltrare de date.

De ce au devenit dispozitivele Videostrong punctul de intrare?

Box-urile set-top ale Videostrong erau livrate cu un endpoint administrativ ascuns. Atacatorii au folosit această deficiență pentru a instala malware persistent.

Backdoor-ul le-a oferit acces la nivel de root pe fiecare dispozitiv compromis.

Echipa de inteligență de amenințări a Google a urmărit familia de malware până la un grup cunoscut pentru țintirea electronicii de consum. Grupul folosea dispozitivele compromise ca rețea distribuită pentru atacuri împotriva serviciilor terțe.

Câte dispozitive au fost afectate?

Videostrong produce box-uri set-top bazate pe Android, vândute consumatorilor din întreaga lume. Firmware-ul companiei includea o interfață de debug care rămânea accesibilă și după producție.

Atacatorii au descoperit această interfață și au folosit-o pentru a distribui silențios malware-ul XCPE.

Care a fost rolul Videostrong?

Malware-ul a stabilit un canal de comenzi și control, permițând operatorilor la distanță să trimită instrucțiuni simultan tuturor dispozitivelor infectate.

Acest lucru a transformat milioane de box-uri de consum într-o platformă de atac coordonat.

Apropiativ 1,3 milioane de box-uri Android și dispozitive IoT au fost compromise.

Cum au desființat Google și partenerii botnet-ul?

Videostrong a produs dispozitivele Android care conțineau interfața de debug vulnerabilă, exploată de atacatori.

Au identificat familia de malware, au urmărit serverele de comenzi și control și au coordonat desființări cu partenerii din industrie pentru a tăia infrastructura criminală.