Ботнет XCPE заразил более 1,3 млн Android-устройств
Ботнет XCPE заражал прошивки Android TV-приставок и других устройств на базе Android, включая системы телемедицины, караоке и цифровых вывесок. Вредоносное ПО приписали Videostrong; оно заразило более 1,3 млн устройств. Google и партнёры нейтрализовали домены C2 ботнета, инфраструктуру промежуточного размещения и инфраструктуру связанного с ним вредоносного ПО.
Устройство и связь с инфраструктурой C2
Основной компонент XCPE, x.cpe или com.oemservice, запускался с привилегиями android.uid.system и находился в разделе /oem/ прошивки. Если компонент удаляли, после перезагрузки он устанавливал себя заново в /data/app/. В нём также были ContentProviders для обмена с другими системными приложениями идентификаторами устройств, настройками прокси, конфигурацией и состоянием выполнения.
Текущие варианты использовали HTTP для начальной загрузки и получения конфигурации, а затем постоянно связывались с управляющей инфраструктурой по MQTT. Сервер mqtt.szbboys[.]com разрешался в адреса 219.134.163[.]210 и 219.134.163[.]211 и использовал порты 3885, 3886 и 3887. Инфраструктура C2 предоставляла учётные данные брокера, MQTT-топики для отдельных устройств, параметры геолокации и обхода NAT, конечные точки для загрузки, настройки модулей и адреса для скачивания.
Команды по MQTT позволяли устанавливать APK-файлы без уведомления пользователя, выполнять произвольные команды и скрипты, отключать проверку Play Protect, захватывать экран и вводить нажатия клавиш. Среди других возможностей были сетевая разведка, сбор данных и создание обратного шелла.
Модули и монетизация устройств
С конца 2024 года x.cpe всё чаще передавал выполнение полезной нагрузки приложению com.abc.nexus. Оно загружало нативные демоны ELF, содержало встроенные SDK и удалённо скачивало APK-файлы.
Модули превращали заражённые устройства в узлы резидентных прокси и обмена пропускной способностью. Среди них были Linkfog, AppSalt, Traffmonetizer, GaGaNode, NetNut/PopaNet и EarnFM Fleet. Эти компоненты использовали WebSocket, TCP, UDP, QUIC и обратные туннели, чтобы ретранслировать через устройства произвольный трафик третьих сторон без согласия пользователей.
Другие модули занимались мошенничеством с рекламой. В частности, HiddenView и Fission использовали скрытые WebView или фоновые HTTP-запросы для генерации мошеннических показов и событий отслеживания.
К дополнительным бэкдорам относились Spirit, Moyu и Bird. Они поддерживали динамическую загрузку кода, получение вторичных полезных нагрузок, перехват буфера обмена, скрытую установку приложений и злоупотребление функциями доступности. В их числе также были модули дальнейшей монетизации.
Закрепление и противодействие анализу
Более новые дропперы маскировались под системные приложения Android и использовали нативные функции для перезапуска adbd с правами root, получения оболочки ADB и повторного монтирования /system в режиме чтения и записи. Они устанавливали приложения в /system/priv-app/ и предоставляли привилегии на установку пакетов и перезагрузку.
Меры противодействия анализу включали усиление процессов с помощью seccomp, фильтрацию системных вызовов, обнаружение песочниц и защиту от вмешательства со стороны потоков и дочерних процессов.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
