Google指Videostrong把逾1.3M部Android TV盒子變成殭屍網絡

Google 及其合作夥伴已關閉 XCPE 殭屍網絡。該網絡曾在超過 130 萬部 Android TV 電視盒上運作。Google 威脅情報小組在星期一發表的 網誌文章中表示，設備製造商是故意把它植入裝置的。

Google 寫道：「設備製造商故意向用戶的裝置植入惡意軟件，是不可接受的信任背叛，並對這些用戶構成嚴重風險。」

該製造商是 Videostrong Technology，一間位於深圳、製造 Android TV 電視盒及其他裝置的公司。Google 表示，有高度信心認為 Videostrong 為牟利而開發並運作該後門，並向犯罪同夥出售存取權。多年來，Google 在多款不同品牌和型號的裝置中發現該程式碼。

Google 寫道：「我們相信，這次行動並非個別內鬼所為，也不是開發疏忽造成。」

Google 已與 Videostrong 斷絕關係，禁止該公司及其日後成立的任何子公司或關聯公司製造通過認證的 Android 裝置，或向其他通過認證的製造商提供軟件。

後門的功能

後門 x.cpe 植入韌體，擁有系統層級存取權；即使用戶刪除它，它也會自行重新安裝。它關閉了 Android 內置的應用程式掃描器 Google Play Protect，從而在裝置擁有人不知情的情況下安裝應用程式。

Videostrong 隨後把其關聯方的模組載入電視盒。大部分模組會把電視盒變成住宅代理。這類代理會出租住戶的互聯網連線，令其他人的網絡流量看起來像是來自一般家庭。其他模組則會偽造網上廣告的瀏覽量。

Google 表示，也發現 Videostrong 的操作者擷取即時畫面、注入按鍵輸入，以及複製帳戶資料和系統記錄。後門可以描繪電視盒所連接的家居網絡。LG 在 9 月表示，其智能電視會掃描家居網絡，並指出所有智能電視都會這樣做。

大部分受感染裝置都是機頂盒。後門也出現在遙距醫療裝置、卡拉 OK 機和數碼標牌上。

德國和英國亦是目標

Google 與日本警察廳、Lumen、HUMAN Security、Plume、Synthient 和 TrendAI 合作，並透過法律行動令 Videostrong 的控制伺服器下線。Google 也移除了透過後門載入的十多個惡意軟件家族的控制網域。Google 預計此舉會令犯罪分子失去對至少另外 1,000 萬部受感染裝置的控制權。

這次打擊行動發生在數星期後；此前 Microsoft 瓦解了一批與 10 億條詐騙訊息有關的中文釣魚工具包。

TrendAI（Trend Micro 的企業業務部門）統計出，6 月至 10 月期間，206 個型號中共有 1,472,554 部受感染裝置。馬來西亞、巴西、伊拉克、墨西哥和台灣的受感染裝置數量最多。美國、德國、英國、澳洲和加拿大各有約 26,000 至 42,000 部。

Google 測試中的漏洞

Videostrong 是通過認證的 Android 製造商，意味其裝置須接受 Google 的相容性及安全測試。Google 表示，Videostrong 隱藏程式碼，以利用「我們測試中的漏洞」，並在裝置首次啟動後載入程式碼。Google 已更改審查流程，並正加強對通過認證的 Android TV 裝置進行韌體檢查。這個漏洞曝光的數星期前，Google 才為 Android 通話及 Messages 加入Gemini 詐騙檢查功能。

《The Hacker News》報道，11 月 2 日，Videostrong 的網站仍列出其稱為「Google 認證 Android TV 電視盒」的產品。

這次封鎖行動切斷了操作者的連線，但不會清理機頂盒。TrendAI 表示，機主無法自行移除後門，因為它是以製造商金鑰簽署的系統應用程式形式運作。Synthient 將 MECOOL 品牌與 Videostrong 聯繫起來，並公佈了在這次行動中發現的182 個型號名稱清單。Synthient 提醒，單憑型號名稱，無法確認機頂盒已受感染。