Предполагаемая цепочка заражения затронула недорогие Android-проекторы

Описан предполагаемый случай заражения через цепочку поставок недорогих проекторов на Android с платформой Allwinner H713/sun50iw12p1. Предустановленное приложение StoreOS выступает дроппером и загружает SilentSDK, RAT с системными привилегиями. Через менеджер плагинов на устройства могут попадать компоненты для проксирования трафика, рекламного и кликового фрода и другие модули.

Уязвимые настройки прошивки и работа загрузчика

Проекторы продаются, в частности, под брендами Nonete, Magcubic, Hotack и Huyukang. В прошивке обнаружены разрешительные настройки: SELinux работает в режиме permissive, раздел /oem доступен для записи всем пользователям, а служба ADB принимает подключения без аутентификации через TCP-порт 5555. Кроме того, в системе есть скрытый бинарный файл su по пути /system/bin/qw. Устройства используют тестовый ключ подписи AOSP и имитируют идентичность Google ADT-3 Android TV.

Предустановленное приложение com.htc.storeos работает не как обычный магазин приложений. StoreOS взаимодействует с инфраструктурой Aodin Technology, использует геолокацию IP-адресов для применения правил таргетинга и в фоновом режиме загружает или устанавливает SilentSDK. SilentSDK может загружать дополнительные DEX-нагрузки через DexClassLoader или запускать загруженные файлы с root-привилегиями.

ВПО применяет зашифрованные или обфусцированные с помощью XOR нагрузки, сохраняет файлы в скрытом каталоге TMRXwWJu3G5 и выдаёт им права на выполнение командой chmod 777. Для связи используется домен api.pixelpioneerss.com и HTTP-заголовок a: 1003. ВПО собирает идентификаторы устройства, в том числе Android ID, серийную информацию, физический MAC-адрес, модель и версию Android. Для обхода защиты конфиденциальности MAC-адреса оно читает /sys/class/net/wlan0/address, а проверку сертификатов TLS отключает.

Плагины, проксирование и инфраструктура

SilentSDK загружает пакет Stage 3 com.me.cash5, менеджер плагинов, который профилирует архитектуру устройства и извлекает из C2-инфраструктуры зашифрованные модули с версионированием. Среди задокументированных плагинов Stage 4 перечислены:

• com.falc.tree.alln, агент резидентного прокси;
• com.hhh.lijng.jaaa, предположительно клиент ботнета Vo1d/Jaguar;
• com.amg.mnjk.lilo, узел UDP-прокси;
• com.yj.pickled.radish, компонент для рекламного и кликового фрода;
• com.so.lmax.ccn, другой обфусцированный коммерческий SDK прокси.

Нативный агент прокси способен создавать большое количество потоков ретрансляции и направлять трафик сторонних приложений через сетевое соединение устройства. Поставкой плагинов управляют серверные географические правила, в том числе исключения для Китая. Для компонента, связанного с рекламным мошенничеством, указано целенаправленное развёртывание в Индонезии, России, Мексике и Бразилии.

К связанной инфраструктуре относятся домены api.pixelpioneerss.com, *.aodintech.com, *.syslogcollector.com, o.fecebbbk.xyz, www.sda-1.xyz и balancer.api.net2fast.com. Также указаны IP-адреса диспетчеров: 79.127.216.89, 107.151.220.86 и 207.166.169.133.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.