Бэкдор в прошивке Android-приставок MECOOL обеспечивал удалённое управление
В цепочке поставок Android-приставок MECOOL, в частности модели KM9PRO, обнаружили бэкдор com.oemservice, также известный как x.cpe. Он встроен в прошивку и подписан компанией Skyworth Digital Technology. По оценкам, кампания затронула не менее 1,3 млн устройств по всему миру, около 500 000 из них активно взаимодействуют с серверами.
Бэкдор работает с системными привилегиями и поддерживает удалённое выполнение кода, управление файлами, установку и удаление приложений, а также загрузку дополнительного вредоносного ПО. Подключившись к брокеру MQTT, он отправляет сообщения о состоянии устройства с информацией о нём и, если пользователь вошёл в систему, его адресом электронной почты. Задачи операторы передают через инфраструктуру MQTT.
Исследователи наблюдали распространение полезных нагрузок из репозитория GitHub github.com/Aviciiii/ott, где хранились образы устройств, бэкдоры и другие компоненты. Среди обнаруженных вторичных полезных нагрузок были AdMoyu, Appsalt, связанный с Honeygain, APSolo и Nexus. Nexus служил упаковщиком, который мог объединять несколько образцов вредоносного ПО и SDK прокси в одно приложение.
Инфраструктура и распространение
В отчёте операцию связывают с Videostrong Technology Co., Ltd. Связанная с кампанией инфраструктура включала домен anyevonline.com и его поддомены, использовавшиеся для командного управления и размещения файлов. Домен mqtt.anyevonline.com предоставлял административную панель для просмотра заражённых устройств, выдачи задач и управления установкой приложений.
Домен videostrong.cn разрешался в адреса инфраструктуры, связанной с сервисом MQTT. При подписании бэкдоров также наблюдались адреса электронной почты, связанные с Videostrong. Устройства продавались в нескольких магазинах, включая MECOOL и YokaTV, и, по сообщениям, содержали бэкдор x.cpe.
Наибольшую концентрацию заражённых устройств зафиксировали в Малайзии, Мексике и Бразилии. Другие пострадавшие обнаружены в США, Китае и Германии. Скомпрометированные устройства использовали для работы резидентных прокси, рекламного мошенничества и распространения вредоносного ПО по модели оплаты за установку.
Рекомендации по защите
Авторы отчёта рекомендуют:
- выявлять затронутые устройства и изолировать их;
- блокировать связанные доменные имена и IP-адреса;
- сегментировать IoT-оборудование, отделяя его от чувствительных сетей;
- заменять устройства, содержащие бэкдор.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
