Google ทลายบอตเน็ต XCPE บนอุปกรณ์ Android กว่า 1.3 ล้านเครื่อง

Google ประกาศเมื่อวันจันทร์ถึงความสำเร็จในการทลาย XCPE (หรือ X.CPE) ซึ่งเป็น backdoor และบอตเน็ตที่ฝังตัวอยู่ในกล่องรับสัญญาณ Android (set-top boxes) มากกว่า 1.3 ล้านเครื่อง

Malware ดังกล่าวถูกพัฒนาและติดตั้งโดย Videostrong Technology บริษัท OEM/ODM ผู้ผลิตอุปกรณ์ Android จากประเทศจีน ซึ่งเป็นผู้ดำเนินการบอตเน็ตนี้เองเพื่อแสวงหาผลประโยชน์ทางการเงิน

Google ระบุว่า Videostrong ได้ขายสิทธิ์การเข้าถึงให้แก่พาร์ทเนอร์ (affiliates) และโหลดโมดูลอันตรายลงบนอุปกรณ์ที่ถูกฝัง backdoor ไว้ โดยถูกนำไปใช้ทำ ad fraud ขโมยข้อมูล (data exfiltration) ใช้เป็น residential proxies และโหลด malware เพิ่มเติม

"เราพบซอฟต์แวร์อันตรายนี้ถูกฝังลงในอุปกรณ์หลายรุ่นและหลายยี่ห้อมาเป็นเวลาหลายปี โดยมีการสนับสนุนจากโครงสร้างพื้นฐานเฉพาะและปรับเปลี่ยนการตั้งค่าอย่างต่อเนื่องเพื่อหลีกเลี่ยงการตรวจจับ" ยักษ์ใหญ่ด้านอินเทอร์เน็ตกล่าว

ในการกวาดล้างครั้งนี้ Google ได้ดำเนินการทางกฎหมายเพื่อสั่งปิดโดเมนและเซิร์ฟเวอร์ของบอตเน็ต รวมถึงโดเมน command-and-control (C&C) ที่อยู่เบื้องหลังโมดูลเพิ่มเติม ซึ่งคาดว่าจะส่งผลให้การเข้าถึงอุปกรณ์อื่นอีกอย่างน้อย 10 ล้านเครื่องถูกตัดขาด เนื่องจากกลุ่มผู้ดำเนินการได้ขยายการแพร่กระจาย malware นอกเหนือจากระบบ XCPE ด้วย

Google เชื่อว่าบอตเน็ต XCPE เป็นการดำเนินการโดยเจตนาของ Videostrong ไม่ใช่ความผิดพลาดส่วนบุคคลหรือความประมาท ส่งผลให้ Google สั่งห้ามบริษัทดังกล่าวผลิตอุปกรณ์ที่มีการติดตั้งแอปของ Google ล่วงหน้า (pre-installed) อีกต่อไป

"Google กำหนดให้ OEM ต้องผ่านการทดสอบความปลอดภัยที่เข้มงวด แต่ Videostrong ได้ใช้เทคนิคการพรางตัว (obfuscation) เพื่อใช้ประโยชน์จากช่องว่างในการทดสอบ และแอบโหลดรหัสอันตรายหลังจากที่อุปกรณ์บูตเครื่องครั้งแรก" Google อธิบายถึงกลยุทธ์ของกลุ่มผู้ไม่หวังดี

Malware ที่ติดตั้งล่วงหน้าของ Videostrong มีสถาปัตยกรรมแบบสามขั้นตอน ประกอบด้วย backdoor หลักที่ฝังในพาร์ทิชัน /oem/, ตัวโหลดและเอนจินการทำงาน (execution engine) และโมดูลการสร้างรายได้ที่สามารถสั่งรัน backdoor หรือโหลดโมดูลอื่นเพิ่มได้ตามต้องการ การเปิดให้พาร์ทเนอร์เข้าถึง backdoor ทำให้พวกเขาสามารถสร้างรายได้จากอุปกรณ์ที่ติดเชื้อได้ในระยะยาว

"แม้ส่วนใหญ่จะเป็นกล่อง Android TV แต่เรายังพบอุปกรณ์ IoT อื่นๆ ที่ติดเชื้อด้วย เช่น อุปกรณ์การแพทย์ทางไกล (telehealth), เครื่องคาราโอเกะ และป้ายดิจิทัล (digital signage)" Google ให้ข้อมูลเพิ่มเติม

การทลาย XCPE ครั้งนี้ได้รับความร่วมมือจากหลายหน่วยงาน อาทิ สำนักงานตำรวจแห่งชาติของญี่ปุ่น (National Police Agency), Lumen, Human Security, Plume, Synthient และ TrendAI โดยมีการเผยแพร่รายละเอียดทางเทคนิคผ่าน Plume (PDF), Synthient และ TrendAI

อย่างไรก็ตาม Google เตือนว่าตลาดมืดเบื้องหลังขบวนการนี้มีความยืดหยุ่นสูง เมื่อส่วนประกอบหนึ่งถูกรบกวน ผู้ดำเนินการมักจะเปลี่ยนไปใช้ตัวโหลดใหม่หรือเครื่องมือสร้างรายได้ของคู่แข่งอย่างรวดเร็วเพื่อรักษาโครงสร้างพื้นฐานในการโจมตีต่อไป