Google cấm nhà sản xuất Trung Quốc vì cài mã độc vào 1,3 triệu thiết bị Android

Ảnh minh hoạ: Getty Images.

Google ngày 3/11 xác nhận Videostrong Technology, có trụ sở tại Thâm Quyến, Trung Quốc, chuyên phát triển và sản xuất các thiết bị giải mã tín hiệu truyền hình, đã cố tình cài cắm cửa hậu vào 1,3 triệu thiết bị Android, chủ yếu là thiết bị giải mã truyền hình, qua đó âm thầm chiếm quyền điều khiển thiết bị để thực hiện hành vi gian lận quảng cáo, thu thập dữ liệu và chuyển tiếp lưu lượng mạng trái phép. 

Google cùng các đối tác trong ngành đã phối hợp triệt phá mạng botnet này, có tên XCPE, đồng thời đưa Videostrong vào danh sách cấm. Botnet (ghép từ robot và network) là một mạng lưới các thiết bị điện tử (như máy tính, điện thoại, hoặc các thiết bị IoT như camera an ninh, router) đã bị nhiễm mã độc và bị kẻ gian kiểm soát từ xa mà chủ nhân không hề hay biết.

Google đã nhanh chóng hành động sau khi xác nhận vụ việc. Công ty quyết định cấm vĩnh viễn chứng nhận cho Videostrong, đồng thời không cho phép doanh nghiệp này tiếp tục cung cấp phần mềm cho nền tảng Android.

Lệnh cấm không chỉ áp dụng với Videostrong mà còn mở rộng sang các công ty con và đơn vị liên kết trong tương lai của Videostrong Technology. 

Google đã công bố danh sách 168 tài nguyên mạng có liên quan đến chiến dịch, cùng 22 biến thể phần mềm độc hại có liên quan.

Vụ việc được xem là một trong những sự cố nghiêm trọng liên quan đến an ninh chuỗi cung ứng trong hệ sinh thái Android.

Năm ngoái, công ty an ninh mạng Synthient đã phân tích một mẫu hộp Android TV Mecool KM9PRO Max của Videostrong và phát hiện thiết bị được cài sẵn phần mềm độc hại.

Synthient đồng thời xác định khoảng 180 mã thiết bị khác có liên quan đến chiến dịch này.

Theo Synthient, con số 1,3 triệu thiết bị bị lây nhiễm mà Google công bố thậm chí có thể vẫn là một ước tính thấp hơn thực tế. XCPE có mật độ thiết bị bị nhiễm cao nhất tại Malaysia, Mexico và Brazil. 

Phần mềm độc hại XCPE được xác định đã phát triển và hoạt động ít nhất từ năm 2024. Đằng sau mạng lưới này là một mô hình kinh doanh được tổ chức nhằm thu lợi từ các thiết bị bị xâm nhập.

Theo thời gian, Videostrong đã xây dựng một kiến trúc gồm ba lớp, cho phép khôi phục hoạt động của cửa hậu và khai thác thiết bị theo mô hình nhiều đối tác cùng tham gia.

Videostrong không phải một nhà sản xuất nhỏ lẻ, mà là đối tác sản xuất Android chính thức, được tiếp cận phần mềm đã qua chứng nhận và hệ sinh thái Google Play. Vậy bằng cách nào những đoạn mã cửa hậu có thể vượt qua các quy trình kiểm tra bảo mật của Google? Và liệu còn bao nhiêu đối tác khác có khả năng cài cắm những mã độc tương tự vào các thiết bị đã được đưa ra thị trường?

Theo các nhà nghiên cứu, công ty đã sử dụng những kỹ thuật che giấu tinh vi để vượt qua các đợt kiểm tra bảo mật của Google, sau đó cài đặt phần mềm độc hại lên thiết bị sau lần khởi động đầu tiên.

Ban đầu, Videostrong sử dụng một chương trình tải mã độc có tên ABCNexus để triển khai các mô-đun. Sau đó, công ty thay thế công cụ này bằng những chương trình tải mã độc có dung lượng nhỏ hơn, được thiết kế riêng cho từng mục đích.

Google giải thích: "Videostrong đã kiếm tiền từ cửa hậu bằng cách bán quyền truy cập cho các đối tác tội phạm mạng và cho phép những đối tượng này tải các mô-đun phần mềm độc hại lên thiết bị”.

Theo TechBuzz, phản ứng của Google cho thấy quyết tâm xử lý vụ việc, nhưng sự cố cũng phơi bày những điểm yếu trong chính mô hình phát triển Android. 

Trong khi Apple độc quyền kiểm soát chặt chẽ hệ sinh thái phần cứng, thì Google cấp phép Android cho hàng trăm nhà sản xuất trên toàn thế giới. 

Chính mô hình mở này đã góp phần đưa Android trở thành hệ điều hành phổ biến hàng đầu. Tuy nhiên, nó cũng khiến hệ sinh thái phải đối mặt với nhiều nguy cơ bị xâm nhập. Mỗi nhà sản xuất, mỗi đối tác tham gia chuỗi cung ứng đều có thể trở thành một mắt xích tiềm ẩn rủi ro bảo mật.

Các chuyên gia trong ngành cảnh báo trường hợp Videostrong có thể chỉ là phần nổi của tảng băng chìm. Người dùng gần như không có lý do gì để nghi ngờ một thiết bị mới mua có thể đã bị xâm nhập ngay từ khi xuất xưởng.

Google cho biết đã vô hiệu hóa cơ sở hạ tầng vận hành mạng botnet, đồng thời thu hồi quyền truy cập của Videostrong vào các công cụ chứng nhận Android. Tuy nhiên, khoảng 1,3 triệu thiết bị có khả năng đã bị xâm nhập vẫn đang nằm trong tay người dùng. Google chưa công bố cụ thể các biện pháp khắc phục mà chủ sở hữu thiết bị cần thực hiện. 

Sự cố cũng cho thấy mức độ tinh vi ngày càng tăng của các cuộc tấn công nhắm vào chuỗi cung ứng phần cứng. Khi các biện pháp bảo mật phần mềm ngày càng được cải thiện, những kẻ tấn công có xu hướng tìm cách can thiệp sớm hơn, ngay từ khâu sản xuất và phân phối thiết bị.