جوجل تحظر Videostrong بعد تحويل 1.3 مليون جهاز Android TV إلى شبكة بوتنت

أعلنت جوجل يوم الاثنين أنها أوقفت بوتنت كان يعمل على أكثر من 1.3 مليون جهاز Android TV. تم تضمين البرمجية الخبيثة، المسماة x.cpe، في الأجهزة من قبل شركة Videostrong Technology ومقرها شنتشن، وهي شريك معتمد لتقنية Android TV. باعت الشركة الوصول إلى الباب الخلفي لشركاء إجراميين، الذين استغلوا صناديق الاستقبال المصابة في عمليات احتيال إعلاني، شبكات بروكسي سكنية وسرقة بيانات عن بُعد.

• 1.3 مليون جهاز مصاب، تشمل 206 طرازات وعلامات تجارية متعددة.
• تم حظر Videostrong من إنتاج أجهزة Android معتمدة ومن توفير البرمجيات لصانعين معتمدين آخرين.
• شملت عملية الإغلاق مصادرة خوادم التحكم والقيادة الخاصة بـ Videostrong وعشرات النطاقات الخبيثة، مما قطع عن ما لا يقل عن 10 ملايين ضحية محتملة أخرى.

كيف عمل الباب الخلفي

تم دمج باب x.cpe الخلفي في البرنامج الثابت مع صلاحيات نظامية. عطل حماية Google Play Protect، مما سمح له بتثبيت وحدات إضافية دون علم المستخدم. بعد التثبيت، كان بإمكان البرمجية أخذ لقطات شاشة، حقن ضغطات مفاتيح، نسخ تفاصيل الحساب، ورسم خريطة الشبكة المنزلية. معظم الوحدات المصابة كانت صناديق استقبال، لكن الشيفرة ظهرت أيضاً على أجهزة الرعاية الصحية عن بُعد، آلات الكاريوكي، واللافتات الرقمية.

حجم العدوى

TrendAI، الذراع المؤسسي لشركة Trend Micro، أبلغ عن 1,472,554 جهازًا مصابًا عبر 206 طرازات بين يونيو وأكتوبر. كانت أعلى التركيزات في ماليزيا، البرازيل، العراق، المكسيك وتايوان. وفي الولايات المتحدة، ألمانيا، المملكة المتحدة، أستراليا وكندا، سجل كل منها ما بين 26,000 و42,000 جهاز مصاب.

استجابة جوجل والإجراءات القانونية

تعاونت جوجل مع الوكالة الوطنية للشرطة في اليابان، Lumen، HUMAN Security، Plume، Synthient وTrendAI لتفكيك العملية. تم اتخاذ إجراءات قانونية لمصادرة خوادم التحكم الخاصة بـ Videostrong وإغلاق نطاقات التحكم لأكثر من عشرة عائلات برمجية خبيثة تم توزيعها عبر الباب الخلفي. تتوقع الشركة أن الإغلاق سيعزل ما لا يقل عن 10 ملايين جهاز آخر كان من الممكن أن يتعرض للاختراق.

تداعيات ذلك على الأجهزة Android المعتمدة

كانت Videostrong صانعة Android معتمدة، ما يعني أن أجهزتها اجتازت اختبارات التوافق والأمان الخاصة بجوجل. أخفت الشركة البرمجية الخبيثة بطريقة استغلت ثغرة في اختبار جوجل، حيث تم تحميلها بعد أول إقلاع للجهاز. ردًا على ذلك، عدلت جوجل عملية مراجعتها وعززت فحوصات البرنامج الثابت لأجهزة Android TV المعتمدة. يبرز الحادث خطر إدخال شفرة خبيثة إلى سلسلة التوريد حتى من قبل المصنعين الموثوقين.

ما التالي لأصحاب الأجهزة والمطورين

لا يمكن لأصحاب الأجهزة المصابة إزالة الباب الخلفي بأنفسهم، لأنه يعمل كتطبيق نظام موقّع بمفتاح Videostrong. نشرت Synthient قائمة تضم 182 اسم طراز مرتبط بالحملة، لكن اسم الطراز وحده لا يثبت العدوى. يجب على المطورين وفرق تكنولوجيا المعلومات التحقق من سلامة البرنامج الثابت، ومراقبة النشاط الشبكي غير المعتاد، والنظر في استبدال الأجهزة المتأثرة. حظر جوجل على Videostrong وشركائها يرسل رسالة واضحة نحو تشديد المعايير الأمنية للمصنعين المعتمدين.