Google, Android üretim ortaklarından birinin 1,3 milyon cihazda gizlice arka kapı oluşturup bunları botnet'e çevirdiğini açıkladı. Şirket arka kapıyı ortadan kaldırdığını ve Shenzhen merkezli üretici Videostrong Technology Co. ile bağlarını kestiğini belirtti. Videostrong, sertifikalı Android cihaz üretme veya satma ya da bunlar için yazılım sağlama yasağına tabi tutuldu.
Enfekte cihazlar sahiplerinin haberi olmadan “kötücül faaliyetler” için kullanıldı. Bu faaliyetler arasında reklam sahtekarlığı, veri sızdırma ve yetkisiz ağ trafiğinin yönlendirilmesi yer aldı. Google, arka kapı ve botnet'in “kasıtlı olarak geliştirildiğini, dağıtıldığını ve finansal kazanç için işletildiğini” savundu ve şunları kaydetti:
Videostrong, arka kapıyı suç ortaklarına satarak gelir elde etti ve bu ortakların kötü amaçlı yazılım modüllerini enfekte cihazlara yükledi. Bu ikincil modüller reklam sahtekarlığı yapıyor; enfekte cihazları sessizce konut proxy ağlarına kaydediyor; ve XCPE'den etkilenen cihazlara ek kötü amaçlı yazılım yüklüyordu. Ayrıca bu ortak modülleri çalıştıran komut ve kontrol (C2) alanlarını bozmak için önlem aldık. Bu ortakların modülleri için XCPE ötesinde çeşitlendirilmiş dağıtım kanalları bulunduğundan, C2 alanlarını devre dışı bırakmanın en az 10 milyon ek tehlikeye atılmış cihaza erişimi keseceğini değerlendiriyoruz.
Zarar yalnızca tek bir cihazla sınırlı kalmadı; kötü amaçlı yazılım birden fazla yıl boyunca birçok farklı model ve markaya doğrudan gömülü bulundu. Bunların çoğu Android TV set üstü kutularıydı ancak botnet, tele sağlık cihazları, karaoke makineleri ve dijital tabela cihazları da dahil olmak üzere diğer “Android tabanlı IoT cihazlarını” da enfekte etti.
Google'a göre Videostrong, kullanıcılar donanımı ilk kez başlattığında kötü amaçlı yazılımı yüklemek için “obfuskasyon teknikleri” kullandı. Google, bu olayın ardından cihaz üreticileri için inceleme sürecinde değişiklikler yaptığını da bildirdi.
