Google-მა XCPE-ის ბოტნეტი გათიშა და მწარმოებელი დაადანაშაულა

ამ მოდულების გაშვებას მავნე პროგრამის მეორე ეტაპი უზრუნველყოფს. ის, როგორც წესი, com.abc.nexus-ის სახელით ცნობილი კომპონენტია. GTIG-ის ცნობით, ბოლო პერიოდში ოპერატორები ამ ჩამტვირთველს სულ უფრო ხშირად ანაცვლებდნენ სპეციალიზებული ჩამტვირთველებით, რომელთაგან თითოეული მხოლოდ ერთ მოდულს ტვირთავს. com.abc.nexus თვითონაც და ჩამოტვირთულ მავნე მოდულებსაც ანალიზის საწინააღმდეგო სხვადასხვა ხერხით იცავს. შემდეგ, კონფიგურაციის მიხედვით, საჭირო მოდულებს ააქტიურებს. ზოგი მათგანი უშუალოდ მავნე პროგრამაშია ჩაშენებული, ზოგი კი ინტერნეტიდან იტვირთება. დაზარალებული მომხმარებელი ამას ვერ ამჩნევდა: მავნე პროგრამა თიშავდა ჩვეულებრივ მოთხოვნას, რომელიც უცხო აპლიკაციების გაშვებამდე ჩნდება, და Google-ის დაცვის სისტემას, Play Protect-საც, გამორთავდა.

მავნე მოდულების უმეტესობა ინფიცირებულ მოწყობილობას „საცხოვრებელ პროქსიდ“ იყენებდა, ანუ მფლობელის ინტერნეტკავშირით სხვის ტრაფიკს ატარებდა. კრიმინალები ამ მომსახურებას ხშირად იყენებენ და შესაბამის ანაზღაურებასაც იხდიან. ზოგი ჩამოტვირთული მოდული კი მოწყობილობას ფონურ რეჟიმში რეკლამის ჩასატვირთად და ვითომ მიღებული ჩვენებებიდან ფულის მისაღებად იყენებდა. არაერთი მოდული სხვა მავნე პროგრამების ჩამოსატვირთად იყო განკუთვნილი. XCPE-ს შეეძლო რამდენიმე ასეთი მოდულის ერთდროულად გაშვება და მათი რესურსების მოხმარებისა და პრიორიტეტების მართვაც.

გარდა ამისა, XCPE ბოტნეტის ოპერატორებს დაზარალებულ მოწყობილობებზე ფართო უფლებებით პირდაპირი გარსის წვდომას აძლევდა. ის ეკრანის სურათებს იპარავდა და დისტანციური სამუშაო მაგიდის მსგავსად მოწყობილობის მართვის საშუალებას იძლეოდა. თავდამსხმელებს XCPE-ის მეშვეობით მომხმარებლის ქსელის დათვალიერებაც შეეძლოთ.

Google-ის ცნობით, XCPE-ის ბოტნეტი 1,3 მილიონზე მეტ Android-მოწყობილობას მოიცავდა. მათ შორის უმეტესობა ტელევიზორის სეტ-ტოპ-ბოქსი იყო, თუმცა დაზარალდა სხვა ნივთების ინტერნეტის მოწყობილობებიც, მაგალითად, ტელემედიცინის აპარატურა, კარაოკე-მანქანები და ციფრული საინფორმაციო დაფები. კომპანია სინთიენტის (Synthient), რომელიც ბოტნეტზე დარტყმაში მონაწილე ერთ-ერთი პარტნიორია, ცნობით, მან შეძლო ბრენდი მეკული ვიდესტრონგთან დაეკავშირებინა. სინთიენტის ინფორმაციით, ამ ბრენდის სეტ-ტოპ-ბოქსებიც ბოტნეტში იყო ჩართული.

გარდა ამისა, ჩამოტვირთული მავნე მოდულებიდან ბევრი საკუთარ C2 სერვერებს იყენებდა. ოპერაციის ფარგლებში ზოგი მათგანიც გათიშეს. ეს მოდულები XCPE-ის ბოტნეტის გარდა სხვა გზებითაც ვრცელდებოდა. ამიტომ GTIG-ის შეფასებით, ოპერაციის შედეგად ოპერატორებს სულ მცირე კიდევ 10 მილიონ მოწყობილობაზე წვდომა შეუწყდათ. ეს მოწყობილობები სხვა გზებით იყვნენ ინფიცირებული.

Google-ის საფრთხეების სადაზვერვო ჯგუფის ბლოგპოსტი კომპრომეტირების ინდიკატორების (IoC) ვრცელი სიებით სრულდება. საკმარისი ტექნიკური ცოდნის შემთხვევაში, ამ სიებით შესაძლებელია შემოწმდეს, იყო თუ არა მოწყობილობა XCPE-ით ინფიცირებული. დანარჩენ მომხმარებლებს GTIG ურჩევს, მოწყობილობები მხოლოდ სანდო რეპუტაციის მქონე მწარმოებლებისგან შეიძინონ. ეს რჩევა ცოტა იოლად სათქმელია, რადგან ვიდესტრონგი სერტიფიცირებული Android-მოწყობილობების მწარმოებელი იყო. სინთიენტი დაზარალებული მოწყობილობების მფლობელებს ურჩევს, ისინი სამუდამოდ გადააგდონ, რადგან დიდი ალბათობით, მათში სხვა მავნე პროგრამებიც არის. შემდეგ მათ შესაძლო კომპრომეტირებული მონაცემები, მაგალითად, Wi-Fi-ის პაროლები, უნდა შეცვალონ. ზოგადად, ნივთების ინტერნეტის მოწყობილობები იზოლირებულ ქსელში უნდა ჩართონ.

თემებიGoogleheise onlineვიდესტრონგ ტექნოლოგიმეკულისაფრთხეების სადაზვერვო ჯგუფისინთიენტიიაპონიაAndroidPlay ProtectXCPE

გამოქვეყნდა 3 ნოემბერი, 2026