Google purki bottiverkon, joka vuokrasi 1,3 miljoonan TV-boksin nettiyhteyden rikollisille
Googlen mukaan valmistaja oli itse asentanut takaoven, joten ostaja ei voinut tietää boksin työskentelevän rikollisille.
Tiivistelmä
Googlen mukaan kiinalainen Videostrong rakensi ja ylläpiti XCPE-takaovea Android-TV-boksien ohjelmistoon. Google ja kumppanit katkaisivat bottiverkon ohjauksen viime viikolla, mutta jo tartunnan saaneet laitteet eivät puhdistu itsestään. Suomesta ei ole tartuntalukuja.
Tavallinen TV-boksi olohuoneen hyllyllä voi toimia rikollisten välityspalvelimena, vaikka omistaja vain katsoo sillä sarjoja.
Google Threat Intelligence Group kertoo tiistaina julkaistussa raportissaan, että yhtiö ja sen kumppanit purkivat viime viikolla XCPE-nimisen bottiverkon.
Verkkoon oli liitetty yli 1,3 miljoonaa Android-pohjaista digiboksia.
Takaoven ohjaus katkaistiin, ja Google ryhtyi oikeustoimiin verkon hallintaan käytettyjä verkkotunnuksia ja palvelimia vastaan. Operaatioon osallistuivat myös Japanin kansallinen poliisivirasto sekä yritykset Lumen, HUMAN Security, Plume, Synthient ja TrendAI.
Googlen mukaan valmistaja asensi haittaohjelman itse
Google arvioi suurella varmuudella, että kiinalainen Videostrong Technology rakensi takaoven ja piti sitä yllä voittoa tavoitellen.
Haittaohjelma latautui laitteeseen heti ensimmäisen käynnistyksen jälkeen. Google sanoo sulkeneensa tämän aukon.
Googlen mukaan Videostrong myi pääsyä laitteisiin rikollisille kumppaneille ja latasi näiden haittaohjelmamoduuleja boksien päälle.
Omistajan nettiyhteys vuokrattiin edelleen asuntoproxy-palveluille, ja laitteilla tehtiin myös mainoshuijausta.
Asuntoproxy (residential proxy)
Asuntoproxy on palvelu, jossa rikollinen ohjaa liikenteensä tavallisen kotitalouden nettiyhteyden kautta. Kohdepalvelu näkee liikenteen lähteenä kodin IP-osoitteen, ei rikollista. Omistajalle jää riski siitä, että hänen osoitteensa yhdistetään toisten tekemiin rikoksiin.
Googlen raportin mukaan sama koodi löytyi myös Android-pohjaisista etälääkintälaitteista, karaokekoneista ja digitaalisista mainostauluista.
Google kirjoittaa raportissaan:
– Laitevalmistajan tahallinen käyttäjiensä saastuttaminen haittaohjelmalla on hyväksymätön luottamusrikkomus.
Synthientin perustaja pitää lukua alakanttiin
Luvuissa on helppo sekoittaa kaksi eri ryhmää.
Boksien määrä bottiverkossa oli yli 1,3 miljoonaa, ja lisäksi katkaisu poistaa hallinnan vähintään kymmeneltä miljoonalta muulta vaarantuneelta laitteelta.
Ben Brundage, tietoturvayhtiö Synthientin perustaja, sanoi Krebs on Securitylle 2. marraskuuta, että 1,3 miljoonan luku on hyvin konservatiivinen.
– Tämä on luultavasti suurin takaovellisiin TV-bokseihin kohdistunut operaatio, jonka olemme nähneet, Brundage sanoi.
Krebsin mukaan Synthientin oma selvitys väittää, että Skyworth Technologyn myymät MECOOL-boksit sisälsivät myös Videostrongin haittaohjelmaa ja proxy-komponentteja.
Väite on toistaiseksi vain Synthientin, eikä Googlen raportin tai Krebsin artikkelin tietoja ole varmennettu muista lähteistä. Skyworth ja Videostrong ovat eri yrityksiä.
Suomen tilanne ei ole tiedossa
Suomesta ei ole tartuntalukuja, eikä Kyberturvallisuuskeskus tai Traficom ollut tiistaihin mennessä julkaissut XCPE:stä omaa tiedotetta.
Riski koskee silti kaikkia, jotka ovat ostaneet halvan Android-boksin tuntemattomalta valmistajalta.
Googlen kuvauksen mukaan haittaohjelma tuli laitteen mukana. Omistaja ei välttämättä huomaa mitään.
Takaoven katkaisu ei siivoa laitteita, joten jo tartunnan saanut boksi toimii yhä valmistajan asentamalla ohjelmistolla, eikä Googlen raportissa mainita virallista malliluetteloa tai poistotyökalua, jonka avulla omistaja voisi tarkistaa tai korjata laitteensa.
Mitä tehdä
Google neuvoo ostamaan verkkoon kytkettyjä laitteita vain luotettavilta valmistajilta.
Samoin kannattaa varoa sovelluksia, jotka maksavat käyttämättömästä kaistasta, ja asentaa sovelluksia vain luotetuista sovelluskaupoista.
Tarkista laitteen asetuksista, että Google Play Protect on päällä. Haittaohjelma voi kytkeä sen pois, joten sammutettu suojaus on varoitusmerkki.
Epäilyttävästä laitteesta voi ilmoittaa Kyberturvallisuuskeskukselle osoitteessa ilmoita.kyberturvallisuuskeskus.fi.
Korjausta ei voi luvata. Jos boksi epäilyttää, lopeta sen käyttö ja irrota se verkosta.