انهدام شبکه بات‌نت عظیم x.cpe در 1.3 میلیون دستگاه اندروید تی‌وی

گروه هوش تهدید گوگل از انهدام یک شبکه بات‌نت عظیم تحت عنوان x.cpe خبر داد که توانسته بود بیش از 1.3 میلیون دستگاه اندروید تی‌وی (Android TV) را به کنترل خود درآورد. نکته نگران‌کننده در این پرونده، استفاده از دستگاه‌هایی است که دارای گواهی رسمی گوگل بودند، اما به دلیل تکنیک‌های پنهان‌سازی پیچیده، از فیلترهای امنیتی عبور کرده بودند.

جزئیات نفوذ و عملکرد بدافزار x.cpe

بررسی‌های فنی نشان می‌دهد که شرکت چینی Videostrong Technology، که محصولات خود را عمدتاً با برند MECOOL عرضه می‌کند، از یک درگاه پشتی (Backdoor) برای نصب مخفیانه بدافزار استفاده کرده است. این فرآیند دقیقاً پس از راه‌اندازی اولیه و اتصال دستگاه به اینترنت انجام می‌شد.

ساختار این حمله به شرح زیر است:

• نصب اولیه: یک برنامه کمکی به نام com.oemservice وظیفه برقراری ارتباط با سرورهای کنترل را بر عهده داشت.
• تخریب امنیت: این بدافزار با استفاده از مجوزهای سطح سیستم، قابلیت Google Play Protect را غیرفعال می‌کرد تا از شناسایی شدن جلوگیری شود.
• استفاده از منابع: دستگاه‌های آلوده برای فعالیت‌هایی نظیر تقلب تبلیغاتی و مسیریابی ترافیک مخرب (Residential Proxies) به کار گرفته می‌شدند.

عملیات انهدام و پیامدهای حقوقی

گوگل در یک عملیات هماهنگ با پلیس ملی ژاپن، شرکت Synthient و Trend Micro، موفق به مسدود کردن دامنه‌ها و سرورهای فرماندهی این بات‌نت شد. طبق گزارش‌های منتشر شده، این اقدام منجر به قطع دسترسی سازنده از حدود 10 میلیون دستگاه آسیب‌دیده شده است.

در جدول زیر، توزیع جغرافیایی دستگاه‌های آلوده بر اساس گزارش‌های امنیتی آورده شده است:

اقدامات حفاظتی و آینده امنیت اندروید

در پی این حادثه، گوگل اعلام کرده است که رابطه خود را با شرکت Videostrong به‌طور کامل قطع کرده و این شرکت دیگر اجازه استفاده از اپلیکیشن‌ها و سرویس‌های اندروید را نخواهد داشت. همچنین، فرآیند صدور گواهینامه برای دستگاه‌های اندرویدی بازنگری خواهد شد تا از بروز چنین حفره‌های امنیتی در آینده جلوگیری شود.

کاربرانی که از دستگاه‌های اندروید تی‌وی برند MECOOL یا مدل‌های بدون نام استفاده می‌کنند، باید نسبت به غیرفعال بودن Play Protect و وجود ماژول‌های مخرب سیستمی بسیار هوشیار باشند.

در نهایت، اگرچه زیرساخت‌های اصلی بات‌نت از کار افتاده‌اند، اما به دلیل اینکه بدافزار به عنوان یک برنامه سیستمی نصب شده است، حذف کامل آن برای کاربران عادی بسیار دشوار خواهد بود.