گوگل و شرکای صنعتی خود موفق به متلاشی کردن بک‌دور (Backdoor) موسوم به XCPE شدند که بیش از ۱.۳ میلیون دستگاه Set-top Box (گیرنده اندرویدی) را به یک بات‌نت (Botnet) متصل کرده بود. تحلیل‌ها با اطمینان بالا نشان می‌دهد که این بک‌دور و بات‌نت به‌صورت عمدی توسط شرکت Videostrong Technology Co (یک تولیدکننده تجهیزات اصلی یا OEM/ODM اندروید) برای کسب سود مالی توسعه و مستقر شده‌اند.
مکانیزم تجاری‌سازی و فعالیت‌های مجرمانه
شرکت Videostrong با فروش دسترسی به این بک‌دور به گروه‌های مجرم، از آن برای کسب درآمد استفاده می‌کرد. این گروه‌ها با بارگذاری ماژول‌های بدافزاری خود بر روی دستگاه‌های آلوده، فعالیت‌های زیر را انجام می‌دادند:
- تقلب در تبلیغات (Ad-fraud): اجرای عملیات‌های تبلیغاتی غیرقانونی.
- پروکسی‌های مسکونی (Residential Proxy): ثبت بی‌سابقه‌ی دستگاه‌ها در شبکه‌های پروکسی برای عبور ترافیک مجرمانه.
- سرقت داده‌ها و کنترل از راه دور: امکان اجرای دستورات Shell، ضبط صفحه نمایش (Screen Capture) و استخراج اطلاعات حساس.
تحلیل فنی بدافزار
بدافزار XCPE از یک معماری سه‌مرحله‌ای برای مقاومت در برابر شناسایی استفاده می‌کند:
- بک‌دور اصلی (Primary Backdoor): این بخش با سطح دسترسی
android.uid.systemدر پارتیشن فریم‌ور (Firmware) پیش‌فرض قرار دارد. در صورت حذف توسط کاربر، بلافاصله پس از ریبوت (Reboot) دوباره نصب می‌شود که نشان‌دهنده پایداری (Persistence) بسیار بالا است. - بارگذار و موتور اجرا (Loader & Execution Engine): فایل
com.abc.nexusوظیفه اجرای ماژول‌های مختلف را بر عهده دارد. این بخش از تکنیک‌های ضد تحلیل (Anti-analysis) برای مقابله با محیط‌های Sandbox استفاده می‌کند. - ماژول‌های تجاری‌سازی: این ماژول‌ها شامل سرویس‌های مختلفی نظیر Linkfog، AppSalt (متعلق به Honeygain) و NetNut هستند که دستگاه را به یک گره (Node) در شبکه پروکسی تبدیل می‌کنند.
زیرساخت فرماندهی و کنترل (C2)
این بات‌نت از یک پروتکل ارتباطی دو مرحله‌ای استفاده می‌کند. ابتدا از طریق HTTP برای دریافت تنظیمات اولیه استفاده شده و سپس یک اتصال پایدار و بلادرنگ از طریق پروتکل MQTT برقرار می‌کند تا دستوراتی نظیر نصب بی‌سابقه‌ی اپلیکیشن‌ها (Silent App Installation)، غیرفعال کردن Google Play Protect و اجرای دستورات Shell را دریافت کند.
اقدامات اتخاذ شده و پیامدها
گوگل به دلیل سوءاستفاده از شکاف‌های امنیتی در فرآیند تست‌های سازگاری، ارتباط خود را با Videostrong قطع کرده و این شرکت را از تولید دستگاه‌های دارای اپلیکیشن‌های تایید شده گوگل منع کرده است. همچنین، با همکاری نهادهای امنیتی بین‌المللی، دامنه‌های C2 مربوط به چندین خانواده بدافزاری که از این بک‌دور استفاده می‌کردند، مسدود شدند. تخمین زده می‌شود که این اقدام، دسترسی به حداقل ۱۰ میلیون دستگاه دیگر را که از طریق کانال‌های توزیع مجرمانه آلوده شده بودند، قطع کرده باشد.
