Mạng botnet hơn 1,3 triệu thiết bị Android bị triệt phá

Liên minh các công ty an ninh mạng phối hợp với Cơ quan Cảnh sát Quốc gia Nhật Bản đã vô hiệu hóa XCPE, cửa hậu bị cáo buộc cài sẵn trên các thiết bị Android do Videostrong sản xuất. Mạng botnet liên quan có hơn 1,3 triệu thiết bị tại hơn 200 quốc gia, biến kết nối internet của người dùng thành hạ tầng che giấu hoạt động độc hại.

Cửa hậu được cho là cài sẵn trong thiết bị

Google Threat Intelligence Group cho biết họ có độ tin cậy cao rằng Videostrong Technology đã chủ động phát triển, triển khai và vận hành cửa hậu cùng mạng botnet nhằm thu lợi tài chính. Videostrong là nhà sản xuất phần cứng có trụ sở tại Thâm Quyến, Trung Quốc, chuyên làm các thiết bị Android như hộp giải trí và máy chiếu.

Theo Google, công ty đã nhúng XCPE vào phần mềm hệ thống của thiết bị rồi bán quyền truy cập cho các nhóm tội phạm liên kết. Những nhóm này có thể cài thêm mô-đun mã độc lên thiết bị được giao cho khách hàng. Khi thiết bị kết nối vào mạng gia đình, cửa hậu cho phép nhà vận hành tạo mạng chuyển tiếp và che giấu lưu lượng độc hại thông qua kết nối internet của người dùng mà họ không hay biết.

TrendAI cho biết phần mềm hệ thống có sẵn một tác nhân quản lý, được trình bày như công cụ quản lý từ xa thông thường. Tác nhân này nhận bản cập nhật từ một trang GitHub và kết nối đến máy chủ sử dụng giao thức truyền tin MQTT. Qua đó, nhà vận hành có thể điều khiển thiết bị từ xa, cài hoặc gỡ ứng dụng, thay đổi cài đặt và gửi bản cập nhật.

Có thể ảnh hưởng đến hàng triệu thiết bị khác

Từ ngày 3 tháng 6 đến ngày 1 tháng 10, TrendAI ghi nhận hơn 3,8 triệu địa chỉ IP riêng biệt của mạng gia đình và mạng di động kết nối với hoạt động này.

Liên minh cũng vô hiệu hóa các tên miền dùng để ra lệnh và điều khiển các mô-đun của nhóm liên kết. Google Threat Intelligence Group nhận định các nhóm này có nhiều kênh phân phối mô-đun bên ngoài XCPE, nên việc ngắt các tên miền có thể cắt quyền truy cập vào ít nhất 10 triệu thiết bị bị xâm nhập khác.

Google cho biết đã chấm dứt quan hệ với Videostrong và cấm nhà sản xuất này làm thiết bị có cài sẵn ứng dụng Google. Videostrong chưa phản hồi yêu cầu bình luận của The Register.

XCPE thuộc cùng hệ sinh thái với BadBox 2.0, một mạng botnet khác từng lây nhiễm hơn 10 triệu hộp giải trí và thiết bị khác trước khi Human, Google và TrendAI phối hợp vô hiệu hóa vào tháng 3 năm 2025.

Góc nhìn

Vụ việc cho thấy thiết bị kết nối mạng có thể trở thành một phần của hạ tầng tấn công ngay từ khâu cài đặt phần mềm hệ thống. Với doanh nghiệp và kỹ sư, việc đánh giá nguồn gốc thiết bị, cơ chế cập nhật và quyền truy cập từ xa là những yếu tố cần được xem xét bên cạnh cấu hình sử dụng.

Người dùng cũng khó nhận biết rủi ro nếu cửa hậu được ngụy trang thành chức năng quản lý thông thường. Việc nhà sản xuất bị cáo buộc bán quyền truy cập cho các nhóm tội phạm cho thấy kiểm soát chuỗi cung ứng thiết bị có ý nghĩa trực tiếp đối với an ninh mạng.