Đối tác Android của Google biến 1,3 triệu thiết bị thành botnet để trục lợi

Google cho biết một trong các đối tác sản xuất thiết bị Android của họ đã bí mật xây dựng một cổng hậu (backdoor) trên 1,3 triệu thiết bị và biến chúng thành một mạng botnet. Công ty tuyên bố hiện đã triệt phá được cổng hậu này và cắt đứt quan hệ với nhà sản xuất là Videostrong Technology Co., có trụ sở tại Thâm Quyến, Trung Quốc. Công ty này đã bị cấm sản xuất hoặc bán các thiết bị Android được chứng nhận hoặc cung cấp phần mềm cho các thiết bị đó.

Các thiết bị bị nhiễm mã độc đã bị lợi dụng mà chủ sở hữu không hề hay biết cho các hoạt động độc hại như gian lận quảng cáo, đánh cắp dữ liệu và định tuyến lưu lượng mạng trái phép. Google khẳng định rằng cổng hậu và mạng botnet đã được chủ ý phát triển, triển khai và vận hành vì mục đích tài chính, đồng thời cho biết:

Videostrong đã kiếm tiền từ cổng hậu bằng cách bán quyền truy cập cho các đối tác tội phạm và tải các mô-đun mã độc của các đối tác đó lên các thiết bị bị nhiễm. Các mô-đun thứ cấp này thực hiện hành vi gian lận quảng cáo; tự động đăng ký các thiết bị bị nhiễm vào mạng proxy dân cư; và tải thêm mã độc lên các thiết bị bị xâm nhập bởi XCPE. Chúng tôi cũng đã hành động để làm gián đoạn các tên miền điều khiển và ra lệnh (C2) vận hành các mô-đun liên kết này. Do các đối tác này đều có các kênh phân phối đa dạng cho các mô-đun của họ ngoài XCPE, chúng tôi đánh giá rằng việc đánh sập các tên miền C2 của họ sẽ cắt đứt quyền truy cập tới ít nhất 10 triệu thiết bị bị xâm nhập bổ sung.

Không chỉ có một thiết bị duy nhất bị ảnh hưởng — mã độc được tìm thấy được tích hợp trực tiếp vào nhiều mẫu mã và thương hiệu thiết bị khác nhau trong nhiều năm. Phần lớn trong số đó là các hộp giải mã tín hiệu Android TV (set-top box), nhưng mạng botnet cũng làm nhiễm độc các thiết bị IoT dựa trên nền tảng Android khác, bao gồm các thiết bị y tế từ xa, máy karaoke và thiết bị hiển thị kỹ thuật số.

Google cho biết Videostrong đã sử dụng các kỹ thuật che giấu (obfuscation) để tải mã độc lên thiết bị của người dùng sau khi họ khởi động phần cứng lần đầu tiên. Google cũng cho biết họ đã thực hiện các thay đổi đối với quy trình đánh giá dành cho các nhà sản xuất thiết bị sau sự cố này.