US — Ars Technica
Google triệt phá botnet âm thầm chạy trên 1,3 triệu hộp Android TV
Bảo mật2 phút đọc
Google cho biết họ đã đánh sập x.cpe, một mạng botnet (mạng máy bị chiếm quyền điều khiển) từng chạy trên hơn 1,3 triệu thiết bị Android TV. Điều đáng chú ý là nhiều thiết bị này đã được Google chứng nhận.
Chuyện gì đã xảy ra
Nhóm Threat Intelligence của Google cho biết họ đã đóng mạng x.cpe. Mạng này bắt đầu từ một phần mềm nhỏ chỉ có nhiệm vụ cài thêm mã độc. Sau đó, nó phát triển thành một nền tảng mã độc ba tầng, có nhiều module (phần chức năng rời). Người vận hành còn bán quyền truy cập mạng này cho bên thứ ba. Theo Google, mã độc được cài vào các hộp TV của công ty Videostrong ở Thâm Quyến, Trung Quốc. Phần lớn là các hộp mang thương hiệu MECOOL.
Các con số chính
- Số thiết bị bị nhiễm cao nhất: hơn 1,3 triệu thiết bị Android TV.
- Các thiết bị này đều là hộp đã được Google chứng nhận, điều hiếm thấy.
- Phần lớn thiết bị được dùng làm proxy dân cư (residential proxy) để chuyển tải lượng lớn lưu lượng xấu, hoặc chạy module gian lận quảng cáo.
- Videostrong có toàn quyền truy cập thiết bị. Họ có thể chạy lệnh đầu cuối, chụp màn hình và quét các thiết bị khác trong mạng nội bộ.
Vì sao lọt qua kiểm tra?
Nhà sản xuất muốn dùng ứng dụng và thương hiệu của Google phải qua quy trình chứng nhận. Quy trình này được cho là để chặn các mối đe dọa như vậy. Tuy nhiên, Videostrong đã dùng kỹ thuật làm rối mã (obfuscation) để qua mặt. Sau khi thiết bị được bật và kết nối mạng, một cửa hậu (backdoor) cho phép họ cài mã độc từ xa. Ứng dụng khởi đầu tên x.cpe hoặc com.oemservice tự 'gọi về' máy chủ điều khiển. Bản thân ứng dụng này không có chức năng độc hại, nhưng nó có quyền hệ thống đủ để cài các module theo lệnh người vận hành. Nó còn tắt Play Protect, công cụ bảo vệ của Google có thể đã phát hiện các gói cài lén này.
Vì sao điều này quan trọng
Vụ việc cho thấy một thiết bị đã qua chứng nhận vẫn có thể bị biến thành công cụ tấn công. Người dùng mua hộp TV tưởng là an toàn, nhưng thực tế có thể đang góp phần vào gian lận quảng cáo hoặc tấn công mạng khác. Nó cũng cho thấy quy trình kiểm tra của Google chưa đủ để bắt được mọi mối nguy.
Cần theo dõi
- Google có thể siết chặt quy trình chứng nhận thiết bị Android TV.
- Các hãng dùng thương hiệu MECOOL và các hộp tương tự có thể bị điều tra thêm.
- Cần xem người dùng có được hướng dẫn gỡ bỏ mã độc hay không.
Chú giải
- botnet
- Mạng máy tính bị chiếm quyền, kẻ xấu điều khiển từ xa để làm việc xấu.
- Android TV
- Hệ điều hành của Google dùng cho TV và hộp giải trí kết nối mạng.
- Play Protect
- Công cụ quét và bảo vệ ứng dụng trên thiết bị Android của Google.
- residential proxy
- Dịch vụ dùng thiết bị của người dùng bình thường để chuyển tiếp lưu lượng mạng, giúp che giấu nguồn gốc.
- MECOOL
- Thương hiệu hộp TV nơi phần lớn thiết bị bị nhiễm được bán.