Телеприставки с тайной нагрузкой

Google сообщила об участии в ликвидации крупной сети заражённых устройств, использовавшейся как residential proxy — сеть домашних прокси-серверов. Такие сети позволяют злоумышленникам направлять интернет-трафик через чужие устройства, скрывая собственное местоположение. В основе сети находилась вредоносная программа XCPE, установленная более чем на 1,3 млн Android TV-приставок.

По данным Google, XCPE применялась для рекламного мошенничества, установки дополнительного вредоносного ПО и включения устройств в незаконную прокси-сеть. Необычным этот случай делает происхождение заражённых приставок: их изготовила и продавала Videostrong — компания, имевшая статус сертифицированного производителя устройств на Android. Покупатели могли рассчитывать на обычную технику от проверенного поставщика, но получали устройства, чьи ресурсы использовались без их согласия.

Google утверждает, что Videostrong не просто допустила заражение на производстве: компания, по версии Google, сама разрабатывала вредоносное ПО и пыталась скрыть его от проверок. «Преднамеренное заражение пользователей производителем устройств — недопустимое нарушение доверия и серьёзный риск для них», — заявила Google.

Таким образом, Videostrong, как описывает ситуацию Google, предлагала два продукта: легально выглядевшие Android-устройства и скрытый доступ к собранному из них ботнету. Неизвестно, сколько компания могла заработать на продаже доступа и кто именно пользовался сетью.

Домашние прокси-ботнеты могут применяться для DDoS-атак — попыток перегрузить сайт или сервис потоком запросов, — маскировки IP-адресов, массового подбора паролей, обхода географических ограничений и сбора данных с сайтов. То есть заражённая приставка могла становиться частью чужой инфраструктуры для самых разных кибератак, пока её владелец просто смотрел телевизор.

В операции участвовали Google, Национальное полицейское агентство Японии, а также компании Lumen, HUMAN Security, Plume, Synthient и TrendAI. Участники отключили домены и серверы, которые использовались для управления ботнетом и установки модулей вредоносного ПО. Они также закрыли управляющие домены более чем дюжины семейств вредоносных программ, загружавшихся через бэкдор XCPE.

Google запретила Videostrong, её будущим дочерним компаниям и аффилированным структурам производить и продавать Android-устройства, а также поставлять программное обеспечение другим сертифицированным производителям. Кроме того, компания изменила проверки целостности прошивки сертифицированных Android TV-устройств.

Google пояснила, что производители проходят проверки совместимости и безопасности. Однако Videostrong, по заявлению компании, использовала обфускацию — сокрытие кода — и загружала вредоносные компоненты после первого запуска устройства, обходя прежние проверки. Теперь процедуру проверки изменили, чтобы снизить риск повторения подобных случаев.

Это не первый случай, когда устройства продаются с предустановленным вредоносным ПО. В прошлом месяце исследователи Bitdefender обнаружили заражённые Android-смартфоны нескольких производителей, включая китайские Doogee и Cubot. Однако, согласно тем данным, цепочка поставок была скомпрометирована без ведома и согласия самих производителей. В случае Videostrong Google, напротив, обвиняет производителя в сознательном участии.

PEREC.RU

У индустрии умных устройств есть удобная привычка: на коробке печатают слова «сертифицировано» и «безопасно», а дальше предлагают покупателю верить, что кто-нибудь уже проверил всё за него. Обычно это работает ровно до момента, когда проверять начинают не рекламные обещания, а прошивку. Тогда выясняется, что телевизор был не единственным, кто наблюдал за происходящим в гостиной.

В этой истории неприятнее всего не масштаб сам по себе, хотя миллион с лишним устройств — уже вполне убедительная очередь на выход из доверия. Важнее предполагаемая роль производителя: если обвинение Google верно, проблема возникла не из-за случайного вредителя в цепочке поставок, а потому, что сама цепочка, возможно, решила стать бизнес-моделью. Удобно: клиент платит за устройство, его интернет-канал работает на чужие задачи, а прибыль, если она была, остаётся за кадром.

Разумеется, пока неизвестны ни заработок Videostrong, ни заказчики ботнета. Здесь особенно уютно чувствует себя деловая тайна: она всегда появляется именно там, где хотелось бы увидеть счета, имена и объяснения. Зато выгода от таких сетей не загадочна — чужой IP помогает атаковать, маскироваться и обходить ограничения, не арендуя собственную вывеску для преступления.

Запрет на будущие поставки и усиление проверок выглядят разумной реакцией, но это не магическое очищение рынка. Производители давно знают, что проверки можно проходить формально, а код — прятать до первого включения устройства. Теперь тестам придётся догонять эту простую хитрость; как водится, безопасность обновляется после того, как кто-то уже нашёл способ выставить доверие на продажу.

Сравнение с заражёнными смартфонами Doogee и Cubot важно именно различием ответственности: там вредоносное ПО, по данным исследователей, попало в устройства без согласия производителей. Если претензии к Videostrong подтвердятся, это уже не история о слабом контроле поставок, а о намеренном использовании статуса доверенного изготовителя. Сертификат в такой схеме превращается в красивую печать на двери, за которой никто не обещал вести себя прилично.

Для покупателя вывод уныло практичен: известный бренд и официальная сертификация снижают риск, но не отменяют его. Устройство, которое подключено к сети и обновляется прошивкой, — не бытовой предмет с навсегда закрытым прошлым, а маленький компьютер, чья репутация зависит от того, кто написал его код и когда его проверили. Остальное рынок обычно объясняет постфактум — с серьёзным лицом и словами о новых мерах.