Tisíce zariadení s Androidom majú obrovský problém. V januári tohto roka výskumník Daniel Milisic odhalil, že lacné TV boxy z Číny v sebe už od výroby môžu skrývať malware, čo následne potvrdilo hneď niekoľko ďalších výskumníkov. Bola to však len špička ľadovca, píše Ars Technica.

Omnoho desivejšie zistenia teraz zverejnila firma zaoberajúca sa kybernetickou bezpečnosťou Human Security. Tá odhalila prepletenú sieť podvodníkov, ktorí vyrábajú a zneužívajú infikované zariadenia s Androidom – tentokrát už nie iba TV boxy.

Komunikujú so záhadnými čínskymi servermi

Práve infikované zariadenia po zapnutí komunikujú so servermi v Číne. Dokonca slúžia ako uzol v systéme organizovaného zločinu, ktorý podvodmi zarába milióny dolárov. Nevedomých obetí majú byť tisíce, no skutočné číslo je prakticky nemožné zistiť.

„Čínsky výrobca (prípadne mnoho výrobcov) vyrába širokú škálu zariadení so systémom Android vrátane telefónov, tabletov a boxov na televíziu,“ otvára Human Security svoju publikáciu. „V určitom okamihu medzi výrobou týchto produktov a ich dodaním predajcom, fyzickým maloobchodným predajniam a skladom elektronického obchodu sa nainštaluje zadné vrátko firmvéru založené na škodlivom softvéri Triada a škatule s produktmi sa zapečatia do plastu, čím sa tieto zariadenia po príchode na miesto určenia pripravia na podvod.“

Výskumníci spoločnosti Human Security našli 7 TV boxov so systémom Android a jeden tablet s nainštalovanými zadnými vrátkami. Podľa správy, ktorú poskytli portálu WIRED, zaznamenali známky 200 rôznych modelov zariadení so systémom Android, ktoré majú byť tiež ovplyvnené. Podľa všetkého ide o zariadenia, ktoré sa nachádzajú ako v domácnostiach, tak aj vo firmách či školách.

„Sú ako švajčiarsky armádny nôž na robenie zlých vecí na internete,“ hovorí Gavin Reid, CISO v spoločnosti Human Security. „Ide o skutočne distribuovaný spôsob páchania podvodov.“ Infikované zariadenia sa po zapnutí okamžite pripájajú k jednému z niekoľkých serverov C2. Zadné dvierka sa používajú na vkladanie ďalších modulov do pamäte zariadenia, čo aktérom hrozby umožňuje rozšíriť ich možnosti, uskutočňovať (a zahladzovať stopy) niekoľko typov podvodov vrátane viacerých druhov reklamných podvodov, vytvárania rezidenčných výstupných uzlov proxy, vytvárania falošných účtov Gmail a WhatsApp a vzdialenej inštalácie neoprávneného kódu.

Zasiahli aj zariadenia s iOS

Spoločnosť Human Security hrozby rozdelila do dvoch kategórií. Tou horšou je takzvaný BADBOX, teda zariadenie s Androidom, ktoré má v sebe nainštalované spomínané zadné vrátka a podiela sa na podvodoch a kybernetických zločinoch.

Druhou kategóriou je PEACHPIT, pri ktorom ide o sieť reklamných podvodov. Tie podľa všetkého zahŕňajú minimálne 39 iOS a Android aplikácií. V súvislosti s nálezom Human Security mal Google dané aplikácie zo svojej platformy odstrániť, zatiaľ čo konkurenčný Apple v niektorých z nich taktiež našiel problémy.

„Jeden z modulov uložených na serveroch C2 umožňuje smartfónom, tabletom a boxom CTV infikovaným systémom BADBOX vytvárať webové zobrazenia úplne skryté pred očami majiteľa. Tieto WebViews sa používajú na vyžiadanie, vykresľovanie a klikanie na reklamy, pričom sa podvrhnú reklamné požiadavky tak, aby vyzerali, že pochádzajú z určitých aplikácií, sú odkazované určitými webovými stránkami a vykresľované na určitých modeloch smartfónov, tabletov a CTV, pričom nič z toho nie je pravda. Tento modul je jednou zo súčastí PEACHPIT, časti BADBOX, ktorá sa zaoberá reklamnými podvodmi,“ uvádza ďalej Human Security. Podľa firmy má byť práve PEACHPIT prvkom operácie, ktorý platí za všetky ostatné.

Čo môžem robiť, ak ma zasiahli?

PEACHPIT podľa analýzy dosiahol maximálny počet 121 000 infikovaných zariadení so systémom Android a 159 000 infikovaných zariadení so systémom iOS. Na tieto zariadenia pripadali v priemere 4 miliardy reklamných požiadaviek denne. Samotné zariadenia so systémom iOS však neboli postihnuté zadnými vrátkami BADBOX. Namiesto toho sa podvod spoliehal len na aplikácie PEACHPIT, ktoré boli k dispozícii na stiahnutie z AppStore.

Bohužiaľ, zariadenia infikované systémom BADBOX sú pre bežného používateľa nezachrániteľné. Keďže škodlivý softvér sa nachádza na oddiele firmvéru zariadenia určenom len na čítanie (ROM), bežný používateľ nebude schopný odstrániť BADBOX zo svojho zariadenia.

Keďže BADBOX postihuje takmer výlučne zariadenia nižších cenových kategórií, „neznačkové“ zariadenia, tím Satori odporúča používateľom, aby sa pri výbere nových zariadení držali známych značiek.