Google รื้อ XCPE Botnet ที่มี Android TV Box 1.3 ล้านเครื่อง

Google พร้อมพันธมิตรรื้อ XCPE backdoor เมื่อสัปดาห์ที่แล้ว ซึ่งทำให้ Android TV set-top box กว่า 1.3 ล้านเครื่องกลายเป็น botnet บริษัทกล่าวเมื่อวันจันทร์

สิ่งที่เกิดขึ้น

Google กล่าวว่าประเมินด้วยความมั่นใจสูงว่า Videostrong Technology Co. ผู้ผลิตอุปกรณ์ Android ของจีน จงใจพัฒนา ติดตั้ง และใช้งาน backdoor เพื่อผลกำไร Videostrong ทำเงินจาก backdoor ด้วยการขายการเข้าถึงให้พันธมิตรอาชญากรและโหลด malware module ของพันธมิตรเหล่านั้นลงในอุปกรณ์ที่ติดเชื้อ Google กล่าว module เหล่านี้ทำ ad fraud, แอบลงทะเบียนอุปกรณ์เข้าเครือข่าย residential proxy และโหลด malware เพิ่มเติม

Google ยังดำเนินการรบกวน command-and-control domain ที่ควบคุม module ของพันธมิตรเหล่านั้น เพราะพันธมิตรมีช่องทางกระจาย beyond XCPE Google กล่าวว่าการรื้อครั้งนี้จะตัดการเข้าถึงอุปกรณ์ที่ติดเชื้อเพิ่มอีกอย่างน้อย 10 ล้านเครื่อง

Google ร่วมมือกับสำนักงานตำรวจแห่งชาติญี่ปุ่น, Lumen, HUMAN Security, Plume, Synthient และ TrendAI เพื่อวิเคราะห์ malware ecosystem และรบกวนการทำงาน บริษัทดำเนินการทางกฎหมายรื้อ domain และ server ที่ Videostrong ใช้ ห้าม Videostrong และบริษัทในเครือในอนาคตจากการผลิตหรือขาย Android device ที่ได้รับการรับรอง และกล่าวว่าได้ปรับปรุงกระบวนการตรวจสอบเพื่อป้องกันกิจกรรมลักษณะนี้

ทำไมจึงสำคัญ

กรณีนี้แสดงให้เห็นผู้ผลิตอุปกรณ์ติด malware ลงในฮาร์ดแวร์ของลูกค้าโดยเจตนา ซึ่ง Google เรียกว่าการละเมิดความไว้วางใจที่ยอมรับไม่ได้ XCPE malware อยู่ใน /oem/ partition และติดตั้งตัวเองใหม่หากถูกลบ ดังนั้นอุปกรณ์ที่ได้รับผลกระทบจะต้องใช้ clean firmware หรือตัดการเชื่อมต่ออินเทอร์เน็ตเพื่อความปลอดภัย หุ้น Alphabet (GOOGL) ขึ้น 0.07% ในการซื้อขายล่าช้าที่ราคา 279.19 ดอลลาร์

สิ่งที่ต้องจับตา

Google กล่าวว่าการรบกวน ณ จุดเวลาเป็นเครื่องมือสำคัญ แต่ความรบกวนที่ยั่งยืนต้องอาศัยการติดตาม infrastructure ต่อไป ไม่มีการเปิดเผยการดำเนินการที่มีกำหนดวันเพิ่มเติม