深圳廠商在 130 萬部機頂盒的韌體植入後門
據 Google 威脅情報小組（Google Threat Intelligence Group）11 月 3 日公布的報告，深圳 Android 設備製造商 Videostrong Technology 在自家生產的 Android TV 機頂盒韌體內預先植入一個名為 x.cpe 的後門，把逾 130 萬部機頂盒變成一個殭屍網絡（受遠端操控的設備網絡）。Google 表示「高度確信」這個後門由 Videostrong 刻意開發、部署及營運，目的是賺錢。
Videostrong 既以自家名義生產機頂盒，亦為其他品牌代工。Google 指，這個惡意程式多年來內置於多個品牌的多款型號，背後有專用伺服器，設定亦不斷改動以避開偵測，因此認為事件並非個別員工所為，亦不是開發上的疏忽。
用戶刪除後門，重啟後又會自動裝回
據 Google 報告，x.cpe 預裝在韌體的系統分區，擁有系統級權限；用戶即使把它解除安裝，機頂盒重新開機時亦會從 /oem/ 分區自動再安裝一次。
報告指，Videostrong 最遲由 2024 年底開始，把預裝的惡意程式由簡單的下載器，逐步改成三層結構：後門負責與控制伺服器通訊，再由另一個載入程式執行收費模組。透過後門，操控者可以在用戶不知情下安裝應用程式、執行任意指令、擷取熒幕畫面，以及關閉 Google Play Protect 的應用程式檢查。
Google 又指，Videostrong 利用 Google 認證測試的漏洞，在機頂盒第一次開機之後才載入惡意程式碼，因此避過了出廠前的安全測試。
把後門的使用權賣給犯罪集團
Google 表示，Videostrong 透過把後門的使用權賣給犯罪集團賺錢，並替這些「合作夥伴」把惡意模組裝進受感染的機頂盒。這些模組會偷偷把機頂盒變成住宅代理（把別人的網絡流量經用戶家中寬頻轉發出去）的出口、用來做廣告欺詐，或者再安裝更多後門。
Google 形容，設備製造商故意用惡意程式感染自己的用戶，是不可接受的背信行為。據科技網站 The Register 報道，受影響的設備遍及逾 200 個國家。
Google 封殺 Videostrong，再切斷逾 1,000 萬部設備
Google 指，上星期已聯同日本警察廳、Lumen、HUMAN Security、Plume、Synthient 及 TrendAI 瓦解這個殭屍網絡，並採取以下行動：
行動 | 內容 |
|---|---|
法律行動 | 取締 Videostrong 用來操控殭屍網絡及派發模組的域名和伺服器 |
切斷其他惡意程式 | 取締逾十個經這個後門派發的惡意程式家族的控制域名 |
封殺廠商 | 禁止 Videostrong 及其日後的子公司或聯屬公司生產及銷售經認證的 Android 設備，亦不准向其他認證廠商供應軟件 |
堵塞漏洞 | 加強檢查經認證 Android TV 設備的韌體完整性，並修改審查程序 |
由於這些犯罪集團的惡意模組不只經 x.cpe 派發，Google 估計取締它們的控制域名後，可以再切斷至少 1,000 萬部其他受感染設備的連線。
來源
- Shutting the Door on the XCPE Botnet（Google Threat Intelligence Group）
- Cops bust botnet of 1.3M infected Android TV boxes（The Register）
- Google disrupts million-device XCPE Android malware botnet, bans TV box maker（BleepingComputer）
暫時未有留言
提交留言即表示你已閱讀我們的私隱政策。