1,3 triệu thiết bị Android từ Trung Quốc bị phát hiện cài sẵn mã độc

Theo thông báo từ Google, công ty Videostrong Technology Co., có trụ sở tại Thâm Quyến (Trung Quốc), đã bị cấm hoàn toàn việc sản xuất, phân phối các thiết bị Android đạt chứng nhận cũng như cung cấp phần mềm cho hệ sinh thái của “gã khổng lồ tìm kiếm”.

Trang The Verge dẫn thông tin các cuộc điều tra kỹ thuật xác định mã độc chứa backdoor (cơ chế ngầm giúp kẻ gian vượt qua bảo mật, truy cập vào hệ thống) đã được cài cắm sẵn vào phần cứng của ít nhất 1,3 triệu thiết bị để người dùng vận hành mà không hề hay biết. Hành động này nhằm phục vụ cho các chiến dịch độc hại như gian lận quảng cáo, trích xuất dữ liệu trái phép và điều hướng lưu lượng mạng không được cấp quyền.

Google khẳng định mã độc backdoor và mạng botnet này được chủ đích phát triển, triển khai và vận hành nhằm tạo nguồn thu tài chính bất hợp pháp.

Cụ thể, Videostrong kiếm tiền bằng cách bán quyền truy cập vào những thiết bị đã bị xâm phạm cho đối tác là tội phạm mạng, sau đó nạp thêm mô-đun phần mềm độc hại thứ cấp của các bên này lên thiết bị của người dùng mà không được phép.

Công ty Trung Quốc này đã áp dụng các kỹ thuật làm mờ mã nguồn (obfuscation) để tải mã độc vào hệ thống ngay sau khi người dùng khởi động thiết bị lần đầu tiên, qua đó né tránh quy trình quét mã thông thường.

TV và đầu thu Android là thiết bị thông minh nhưng lại thường bị xem nhẹ vấn đề bảo mật.

Các mô-đun độc hại có nhiệm vụ thực hiện hành vi gian lận lượt hiển thị quảng cáo, đồng thời âm thầm biến thiết bị của người dùng thành điểm trung chuyển trong mạng lưới proxy dân cư và tiếp tục cài đặt thêm các tệp tin độc hại khác thông qua mã khai thác XCPE.

Song song với việc vô hiệu hóa cơ chế “cửa hậu” trên các thiết bị bị ảnh hưởng, Google đã phối hợp triệt phá nhiều tên miền máy chủ điều khiển (C2 - Command and Control) của các nhóm tội phạm liên kết.

Do các nhóm này sở hữu nhiều kênh phân phối mô-đun độc hại ngoài nền tảng XCPE, việc đánh sập hệ thống máy chủ C2 ước tính đã cắt đứt quyền kiểm soát đối với ít nhất 10 triệu thiết bị bị lây nhiễm khác trên quy mô toàn cầu.

Báo cáo điều tra chỉ rõ mã độc không chỉ giới hạn ở một dòng sản phẩm, mà đã được nhúng trực tiếp vào nhiều kiểu máy và thương hiệu phần cứng khác nhau trong suốt nhiều năm. Phần lớn thiết bị chịu tác động là đầu thu truyền hình kỹ thuật số (Android TV set-top box). Bên cạnh đó, mạng botnet còn lây nhiễm sang nhiều dòng thiết bị IoT vận hành trên nền tảng Android, bao gồm thiết bị y tế từ xa, máy hát karaoke gia đình và hệ thống màn hình quảng cáo kỹ thuật số.

Sau khi phát hiện và xử lý sự cố trên diện rộng, Google cho biết đã tiến hành tái cấu trúc và siết chặt toàn diện quy trình kiểm duyệt, đánh giá bảo mật đối với các nhà sản xuất phần cứng tham gia chương trình đối tác Android.