„Android TV“ priedėliuose aptiktas XCPE backdoor: kaip apsaugoti namų ir įmonės tinklą?

Kas yra XCPE ir kaip jis pateko į priedėlius?

„Google“ pranešime aprašytas x.cpe (kai kuriose versijose veikęs kaip com.oemservice) komponentas, esantis įrenginio firmware. Jis galėjo palaikyti ryšį su valdymo serveriais ir priimti užduotis papildomiems moduliams įdiegti. Tyrėjai nustatė, kad komponentas galėjo veikti su sistemos lygio teisėmis, o pašalintas iš įprastų programų duomenų vietos po perkrovimo vėl atsirasdavo iš OEM skaidinio. „Google“ ir „Synthient“ sieja kampaniją su „Videostrong Technology“, kuri gamino įrenginius ir tiekė programinę įrangą skirtingiems prekės ženklams. „Google Cloud“ tyrimo aprašymas; „Synthient“ techninis tyrimas.

Taigi rizika siejama ne vien su tuo, kokią programėlę naudotojas įdiegė. Kai kenkėjiškas komponentas įrašytas į gamintojo firmware, įrenginys gali būti paveiktas nuo pirmo paleidimo. Tyrėjai aprašė, kad vėlesni moduliai buvo naudojami reklamos sukčiavimui, įrenginių prijungimui prie gyvenamųjų IP adresų proxy tinklų ir kitoms kenkėjiškoms funkcijoms.

Ką galėjo daryti botneto operatoriai?

„Google“ nurodo, kad XCPE susiejo įrenginius su partnerių modulių ekosistema. Tarp aprašytų panaudojimo atvejų buvo netikros reklamos peržiūros ar paspaudimai, įrenginio įtraukimas į residential proxy tinklą ir papildomos kenkėjiškos programinės įrangos įdiegimas. Proxy tinkluose trečiosios šalys gali siųsti srautą per namų interneto ryšį, todėl išorinė paslauga gali matyti televizoriaus priedėlio savininko viešą IP adresą, nors savininkas pats tokios veiklos nevykdė.

„Google“ ir partneriai sutrikdė XCPE valdymo infrastruktūrą, o „Google“ nutraukė ryšius su „Videostrong“ ir uždraudė bendrovei bei jos būsimiems filialams gaminti sertifikuotus „Android“ įrenginius ar tiekti jiems programinę įrangą. Tačiau serverių išjungimas savaime neištrina įrenginyje esančio firmware komponento. Be to, „Google“ teigia, kad susijusių kenkėjiškų modulių valdymo infrastruktūros sutrikdymas paveikė ir atskirus kitų šeimų užkrėstus įrenginius — tai nėra teiginys, jog visi jie priklausė XCPE botnetui. „Google“ nurodyti sutrikdymo veiksmai ir poveikio apimtis.

Ar užtenka patikrinti „Play Protect“ sertifikatą?

Ne. Sertifikavimo būsena gali būti naudinga perkant įrenginį, tačiau ji neįrodo, kad konkretus priedėlis neturi šio užkrato. „Google“ pati nurodo, kad „Videostrong“ panaudojo užmaskavimo būdus, leidusius įkelti kenkėjišką kodą po pirmo paleidimo ir apeiti ankstesnės peržiūros spragą; dėl to bendrovė pakeitė firmware vientisumo tikrinimą. „Google Play“ parduotuvėje sertifikavimo būseną galima rasti **Nustatymai → Apie → „Play Protect“ sertifikavimas**, tačiau teigiamas sertifikavimo įrašas nėra individuali švaraus firmware ekspertizė. „Android“ sertifikuotų įrenginių paaiškinimas.

Ką daryti, jei tokį priedėlį turite?

1. Nustatykite tikslų gamintoją ir modelį. Užsirašykite modelio pavadinimą, aparatinės įrangos versiją, firmware leidimą, pardavėją ir įsigijimo datą. XCPE buvo siejamas su kelių prekės ženklų įrenginiais, tad vien logotipas ant dėžutės nebūtinai nurodo tikrąjį OEM gamintoją.
2. Įtarę paveiktą modelį, atjunkite jį nuo tinklo. Ištraukite tinklo kabelį arba išjunkite belaidį ryšį ir išjunkite įrenginį. Jei tai įmonės tinkle esantis priedėlis, pirmiausia užfiksuokite modelį ir tinklo duomenis, tada izoliuokite jį nuo kitų sistemų.
3. Paklauskite pardavėjo ar gamintojo apie patikrintą švarią programinę įrangą. Neįdiekite atsitiktinai internete rastos firmware ir neatlikite savavališko perrašymo. Jei švarus, tinkamam modeliui skirtas ir patikrintas atnaujinimas nepateikiamas, saugiausias pasirinkimas gali būti įrenginio nebenaudoti ir jį pakeisti.
4. Nesitikėkite, kad gamyklinis atkūrimas pašalins komponentą. Tyrėjų aprašyta versija galėjo atkurti programėlę iš OEM skaidinio po perkrovimo. Atkūrimas taip pat gali ištrinti naudotojo duomenis, bet nepašalinti firmware implantų.
5. Peržiūrėkite paskyras, jei priedėlyje buvote prisijungę. Iš patikimo įrenginio patikrinkite aktyvias paskyrų sesijas, nutraukite nežinomas sesijas ir, jei matote neįprastą veiklą, pakeiskite slaptažodžius.

Ką verta padaryti įmonėms?

TV priedėliai, projektoriai, skaitmeniniai ekranai ir kiti „Android“ pagrindu veikiantys įrenginiai dažnai atsiranda tinkle kaip „maža buitinė technika“, nors iš tikrųjų jie yra nuolat prie interneto prijungti kompiuteriai. Inventorizuokite juos taip pat kaip prieigos taškus, kameras ar spausdintuvus: žinokite modelį, savininką, paskirtį, programinės įrangos palaikymą ir tinklo prieigas.

• Naudokite atskirą VLAN arba kitą IoT segmentą, kuris negali inicijuoti ryšių į darbo stočių ar serverių tinklus.
• Leiskite tik reikalingus išėjimo ryšius, o ne neribotą prieigą į internetą.
• Stebėkite DHCP sąrašus ir tinklo srauto anomalijas, kad pastebėtumėte nežinomus priedėlius ar staigų nuolatinį duomenų srautą.
• Peržiūrėkite turto pirkimo taisykles: rinkitės įrenginius su patikrinama kilme, gamintojo palaikymu ir aiškiu firmware atnaujinimo procesu.