В событии, которое не должно удивить абсолютно никого, кто когда-либо с подозрением косился на дешевую стриминговую приставку, Google подтвердила, что один из ее партнеров по производству Android тайно встроил бэкдор в 1,3 миллиона устройств и превратил их в ботнет. Компания заявляет, что теперь она демонтировала бэкдор и «разорвала связи» с производителем, базирующейся в Шэньчжэне, Китай, компанией Videostrong Technology Co., которой запрещено производить или продавать сертифицированные устройства Android или поставлять для них программное обеспечение.

Зараженные устройства использовались без ведома владельцев для «вредоносной деятельности», включая рекламное мошенничество, вывод данных и маршрутизацию несанкционированного сетевого трафика. Google утверждает, что «бэкдор и ботнет были намеренно разработаны, развернуты и эксплуатировались для финансовой выгоды». Шокирующе, мы знаем. В заявлении компания объяснила, что Videostrong монетизировала бэкдор, продавая доступ криминальным партнерам и загружая модули вредоносного ПО этих партнеров на зараженные устройства. Эти вторичные модули осуществляли рекламное мошенничество, молчаливо зачисляли зараженные устройства в сети резидентных прокси и загружали дополнительное вредоносное ПО на устройства, скомпрометированные XCPE.

Google также приняла меры для нарушения работы доменов командования и управления (C2), управляющих этими партнерскими модулями. Поскольку партнеры имеют диверсифицированные каналы распространения за пределами XCPE, Google оценивает, что отключение их доменов C2 приведет к разрыву доступа как минимум к 10 миллионам дополнительных скомпрометированных устройств. Так что есть и светлая сторона: всего лишь еще 10 миллионов устройств участвовали в веселье.

Пострадала не только одна модель устройств — вредоносное ПО было обнаружено «встроенным непосредственно в множество различных моделей и брендов устройств на протяжении нескольких лет». Большинство из них были телевизионными приставками Android TV, но ботнет также заразил другие «IoT-устройства на базе Android, включая устройства телемедицины, караоке-машины и устройства цифровых вывесок». Потому что ничто так не говорит о «надежном медицинском оборудовании», как порция рекламного мошенничества.

Google заявляет, что Videostrong использовала «методы обфускации» для загрузки вредоносного ПО на устройства пользователей после того, как они впервые загрузили оборудование. Компания также сообщает, что внесла изменения в процесс проверки производителей устройств после этого инцидента — предположительно, включая меньше подмигиваний и больше реальных проверок.