Обычно ботнеты появляются там, где есть дыра или неосторожный пользователь. Здесь схема другая: Google с высокой уверенностью заявляет, что вредоносное ПО было вшито в прошивку на заводе и годами кочевало между брендами и моделями приставок.
Основной компонент — бэкдор x.cpe / com.oemservice, работающий с системными привилегиями. После загрузки устройство обращается к серверу управления на домене anyevonline[.]com, получает данные для подключения к MQTT-брокеру и дальше слушает команды. Возможности впечатляют для розничной приставки: тихая установка приложений, отключение Google Play Protect, выполнение shell-команд, снимки экрана и перехват ввода, сбор данных об устройстве и обратные оболочки.
Монетизация шла по нескольким каналам. Через заражённые устройства крутили рекламу, подключали их к сервисам резидентных прокси (Honeygain, NetNut, Traffmonetizer и другие) и доустанавливали чужие бэкдоры — Moyu, Spirit, Bird. По сути бэкдор превратили в платформу, которую сдавали в аренду другим преступникам.
Кого нашли
Google связывает операцию с производителем Videostrong Technology. Улики собирала в том числе компания Synthient: она купила приставку MECOOL KM9PRO Max и обнаружила вредонос в комплекте, а затем нашла открытый каталог на сервере злоумышленников с PDF руководителя разработки Videostrong и совпадение IP у корпоративного домена и сервера управления.
Компанию лишили лицензии на выпуск сертифицированных Android TV устройств с сервисами Google, а её будущим аффилированным структурам запретили производить сертифицированные устройства. Партнёрами выступили японское Национальное полицейское агентство, Lumen, HUMAN Security, Plume, Synthient и TrendAI.
Что это значит для владельцев
Отключение серверов останавливает управление, но не удаляет вредонос с устройств. Он прописан в разделе /oem/ и переустанавливается сам, поэтому помогают только чистая прошивка от независимого источника или физическое отключение от сети. Для бизнеса это повод пересмотреть, какие «умные» устройства вообще имеют доступ во внутреннюю сеть.
Botnets usually appear where there is a hole or a careless user. This case is different: Google assesses with high confidence that the malware was baked into firmware at the factory and travelled across brands and models for years.
The main component is the x.cpe / com.oemservice backdoor, running with system privileges. After boot the device contacts a command server on anyevonline[.]com, obtains credentials for an MQTT broker and listens for commands. Its capabilities are impressive for a retail TV box: silent app installation, disabling Google Play Protect, running shell commands, screenshots and keystroke injection, device and account collection, and reverse shells.
Monetisation ran on several tracks: ad fraud, enrolling devices in residential proxy services (Honeygain, NetNut, Traffmonetizer and others), and installing other backdoors — Moyu, Spirit, Bird. In effect the backdoor became a platform rented out to other criminals.
Who was blamed
Google ties the operation to manufacturer Videostrong Technology. Some of the evidence came from Synthient, which bought a MECOOL KM9PRO Max and found the malware preinstalled, then located an open directory on the attackers’ server containing a PDF by Videostrong’s R&D director and an IP address shared by the company’s domain and the command server.
Google revoked Videostrong’s licence to build certified Android TV devices with Google apps and services and barred the company and future affiliates from producing certified devices. Partners in the disruption included Japan’s National Police Agency, Lumen, HUMAN Security, Plume, Synthient and TrendAI.
What it means for owners
Taking down the servers stops the command channel but does not remove the malware. It lives in the /oem/ partition and reinstalls itself, so only clean firmware from an independent source or disconnecting the device helps. For businesses it is a reason to reconsider which “smart” devices get access to the internal network at all.