Google gỡ bỏ backdoor malware trên 1,3 triệu Android TV box của Videostrong

Tóm tắt nhanh

• Google cho biết một đối tác sản xuất Android là Videostrong đã bí mật cài backdoor trên 1,3 triệu thiết bị, biến chúng thành botnet cho hoạt động độc hại. Công ty đã cắt đứt quan hệ và vô hiệu hóa hạ tầng điều khiển của chiến dịch XCPE/x.cpe.
• Các thiết bị nhiễm mã độc bị dùng cho ad fraud, exfiltration dữ liệu và chuyển hướng lưu lượng mạng trái phép. Google nói backdoor được phát triển và vận hành có chủ đích vì mục đích tài chính, không phải lỗi vô tình.
• Videostrong bị cấm tiếp tục sản xuất hoặc bán thiết bị Android certified, đồng thời không được cung cấp phần mềm cho các nhà sản xuất được chứng nhận khác. Google cũng đã thực hiện hành động pháp lý để chặn các domain và server liên quan.
• Google cho biết mã độc được nhúng trực tiếp vào firmware của nhiều mẫu thiết bị và có thể tự phục hồi từ phân vùng firmware được bảo vệ sau mỗi lần khởi động lại. Vì vậy, gỡ ứng dụng thông thường chưa đủ để xóa hoàn toàn nguy cơ.
• Theo Google, backdoor hoạt động với quyền system-level trên Android TV box, cho phép cài ứng dụng, chạy shell commands, chụp ảnh màn hình và thu thập thông tin thiết bị. Mã độc còn có thể lấy thông tin tài khoản, danh sách ứng dụng và system logs.
• Một số operator còn dùng quyền truy cập từ xa để ghi lại thao tác bàn phím và tạo reverse shells. Google cũng cho biết mã độc có thể làm thay đổi cài đặt bảo mật, khiến Google Play Protect khó phát hiện và gỡ bỏ hơn.
• Google nói đã làm việc với Japan’s National Police Agency, Lumen, HUMAN Security, Plume, Synthient và TrendAI để triệt phá chiến dịch. Công ty cũng thắt chặt kiểm tra tính toàn vẹn firmware và quy trình đánh giá nhà sản xuất sau khi phát hiện cách né kiểm tra bằng obfuscation.
• Hầu hết ca nhiễm được ghi nhận trên Android TV boxes, nhưng Google và các nhà nghiên cứu cũng thấy XCPE trên karaoke machines, telehealth equipment và digital signage systems. Synthient cũng lập danh sách các thiết bị có khả năng bị ảnh hưởng, với trọng tâm là thương hiệu MECOOL.
• Google ước tính việc chặn các domain C2 sẽ cắt đứt quyền truy cập vào ít nhất 10 triệu thiết bị bị xâm nhập thêm qua các kênh phân phối khác. Tuy vậy, các thiết bị đã nhiễm vẫn có thể nguy hiểm và người dùng nên kiểm tra, ngắt kết nối hoặc cân nhắc thay thế.

Tóm tắt tự động bằng AI từ 5 nguồn, có thể có sai sót. Hãy kiểm chứng ở bài gốc.