Google triệt phá mạng botnet XCPE lây nhiễm hơn 1,3 triệu thiết bị Android

Google cho biết đã triệt phá XCPE, một cửa hậu và mạng botnet ảnh hưởng đến hơn 1,3 triệu thiết bị giải mã truyền hình Android. Google xác định Videostrong Technology, nhà sản xuất và thiết kế thiết bị Android, đã chủ động xây dựng, vận hành mạng lưới này để kiếm tiền.

Các thiết bị nhiễm mã độc bị khai thác cho nhiều mục đích, từ gian lận quảng cáo và đánh cắp dữ liệu đến làm proxy dân cư — các thiết bị trung gian giúp che giấu nguồn truy cập — hoặc tải thêm mã độc. Google cũng cho biết hoạt động xử lý có thể đã cắt quyền truy cập vào ít nhất 10 triệu thiết bị khác.

Mã độc được cài sẵn trên nhiều dòng thiết bị

Theo Google, Videostrong đã cài mã độc vào nhiều mẫu thiết bị và thương hiệu trong nhiều năm, đồng thời duy trì hạ tầng riêng và thường xuyên thay đổi cấu hình để né phát hiện cũng như quản lý các bên liên kết. Công ty bị cáo buộc bán quyền truy cập vào cửa hậu cho các bên này, giúp họ kiếm tiền từ thiết bị nhiễm mã độc trong thời gian dài.

Google nhận định đây là hoạt động có chủ đích của Videostrong, không phải hành vi của một nhân viên đơn lẻ hay sai sót trong quá trình phát triển. Vì vậy, Google cấm công ty sản xuất thiết bị có cài sẵn ứng dụng của Google.

Google cho biết Videostrong đã dùng kỹ thuật làm rối mã để khai thác sơ hở trong các bài kiểm tra tương thích và bảo mật. Mã độc được đưa vào thiết bị sau lần khởi động đầu tiên.

Cấu trúc mã độc gồm ba phần: cửa hậu chính tồn tại trong phân vùng /oem/, bộ nạp và thực thi mã, cùng các mô-đun kiếm tiền có thể chạy thêm cửa hậu và tải thêm mô-đun khác.

Chiến dịch xử lý có thể ảnh hưởng đến nhiều thiết bị hơn

Google đã tiến hành các biện pháp pháp lý nhằm vô hiệu hóa tên miền và máy chủ của botnet, cũng như các tên miền điều khiển và ra lệnh đứng sau những mô-đun được tải lên thiết bị XCPE. Hoạt động này có thể khiến ít nhất 10 triệu thiết bị khác mất kết nối với các hệ thống liên quan, do những bên vận hành mô-đun đã mở rộng việc phát tán mã độc ra ngoài XCPE.

Phần lớn thiết bị nhiễm mã độc là hộp giải mã truyền hình Android. Tuy nhiên, Google cũng phát hiện các thiết bị Internet vạn vật chạy Android khác bị ảnh hưởng, gồm thiết bị chăm sóc sức khỏe từ xa, máy karaoke và màn hình quảng cáo kỹ thuật số.

Cơ quan Cảnh sát Quốc gia Nhật Bản, Lumen, Human Security, Plume, Synthient và TrendAI đã hỗ trợ Google trong chiến dịch. Plume, Synthient và TrendAI cũng công bố thông tin kỹ thuật về botnet và quá trình triệt phá.

Google cho biết hành động này đã tác động nghiêm trọng đến hơn một tá tác nhân độc hại. Tuy vậy, thị trường bất hợp pháp vẫn có khả năng thích ứng: các bên vận hành cửa hậu, mạng lưới gian lận quảng cáo và dịch vụ proxy dân cư liên kết với nhau; khi một mắt xích bị gián đoạn, những bên còn lại có thể chuyển sang bộ nạp hoặc bộ công cụ kiếm tiền khác.

Góc nhìn

Vụ việc cho thấy rủi ro bảo mật có thể bắt nguồn từ phần mềm được cài sẵn trên thiết bị, thay vì chỉ xuất hiện sau khi người dùng cài ứng dụng. Với nhà sản xuất và đơn vị tích hợp thiết bị, quy trình kiểm tra cần tính đến khả năng mã độc được bổ sung sau lần khởi động đầu tiên.

Việc vô hiệu hóa hạ tầng có thể làm gián đoạn botnet trên quy mô lớn, nhưng chưa chắc xóa bỏ được cả chuỗi kiếm tiền đứng sau nó. Doanh nghiệp quản lý thiết bị Android cần xem xét nguồn gốc phần mềm, cách thiết bị kết nối với máy chủ điều khiển và khả năng cập nhật an toàn trong suốt vòng đời sản phẩm.