Thanh Phong✔
Editor
Google cho biết một nhà sản xuất đã “cố ý” chiếm quyền kiểm soát các thiết bị của mình bằng phần mềm độc hại.
Theo Google, một trong những đối tác sản xuất thiết bị Android của họ đã bí mật cài đặt “cửa sau” (backdoor) vào 1,3 triệu thiết bị, biến chúng thành một mạng lưới máy tính ma (botnet). Google thông báo đã loại bỏ cửa sau này và “cắt đứt quan hệ” với nhà sản xuất nói trên. Đó là công ty Videostrong Technology có trụ sở tại Thâm Quyến, Trung Quốc. Hiện tại, Videostrong đã bị cấm sản xuất hoặc kinh doanh các thiết bị Android được chứng nhận, cũng như không được phép cung cấp phần mềm cho các thiết bị này.
Các thiết bị bị nhiễm mã độc đã bị lợi dụng mà chủ sở hữu không hề hay biết để thực hiện các “hoạt động độc hại”, chẳng hạn như gian lận quảng cáo, đánh cắp dữ liệu và điều hướng lưu lượng truy cập mạng trái phép. Google khẳng định rằng “cửa sau và mạng lưới botnet này đã được cố ý phát triển, triển khai và vận hành nhằm mục đích trục lợi tài chính”.
Cụ thể, theo chia sẻ của Google, công ty Videostrong đã kiếm tiền từ cửa sau này bằng cách bán quyền truy cập cho các đối tác tội phạm, đồng thời cài đặt các mô-đun phần mềm độc hại của những đối tác đó vào các thiết bị bị nhiễm. Các mô-đun phụ này thực hiện hành vi gian lận quảng cáo, âm thầm biến các thiết bị bị nhiễm thành một phần của mạng lưới proxy dân cư (residential proxy networks), và cài đặt thêm các phần mềm độc hại khác vào những thiết bị đã bị xâm nhập thông qua XCPE. Chúng tôi cũng đã thực hiện các biện pháp ngăn chặn các tên miền điều khiển và chỉ huy (C2) vốn được dùng để vận hành các mô-đun độc hại này. Do các đối tác tội phạm kể trên còn có những kênh phân phối khác ngoài XCPE, chúng tôi ước tính rằng việc vô hiệu hóa các tên miền C2 của chúng sẽ cắt đứt quyền truy cập vào ít nhất 10 triệu thiết bị bị xâm nhập khác.
Sự việc không chỉ dừng lại ở một loại thiết bị duy nhất. Phần mềm độc hại này được phát hiện là đã “tích hợp trực tiếp vào nhiều mẫu mã và thương hiệu thiết bị khác nhau trong suốt nhiều năm”. Phần lớn trong số đó là các thiết bị giải mã tín hiệu Android TV, nhưng mạng lưới botnet này còn lây nhiễm sang các “thiết bị IoT chạy trên nền tảng Android khác, bao gồm thiết bị chăm sóc sức khỏe từ xa, máy hát karaoke và các thiết bị hiển thị kỹ thuật số”.
Google cho biết Videostrong đã sử dụng “các kỹ thuật che giấu” để cài đặt phần mềm độc hại vào thiết bị của người dùng ngay khi họ khởi động phần cứng lần đầu tiên. Sau sự việc này, Google cũng đã thực hiện những thay đổi đối với quy trình đánh giá dành cho các nhà sản xuất thiết bị.
Theo Google, một trong những đối tác sản xuất thiết bị Android của họ đã bí mật cài đặt “cửa sau” (backdoor) vào 1,3 triệu thiết bị, biến chúng thành một mạng lưới máy tính ma (botnet). Google thông báo đã loại bỏ cửa sau này và “cắt đứt quan hệ” với nhà sản xuất nói trên. Đó là công ty Videostrong Technology có trụ sở tại Thâm Quyến, Trung Quốc. Hiện tại, Videostrong đã bị cấm sản xuất hoặc kinh doanh các thiết bị Android được chứng nhận, cũng như không được phép cung cấp phần mềm cho các thiết bị này.
Các thiết bị bị nhiễm mã độc đã bị lợi dụng mà chủ sở hữu không hề hay biết để thực hiện các “hoạt động độc hại”, chẳng hạn như gian lận quảng cáo, đánh cắp dữ liệu và điều hướng lưu lượng truy cập mạng trái phép. Google khẳng định rằng “cửa sau và mạng lưới botnet này đã được cố ý phát triển, triển khai và vận hành nhằm mục đích trục lợi tài chính”.
Cụ thể, theo chia sẻ của Google, công ty Videostrong đã kiếm tiền từ cửa sau này bằng cách bán quyền truy cập cho các đối tác tội phạm, đồng thời cài đặt các mô-đun phần mềm độc hại của những đối tác đó vào các thiết bị bị nhiễm. Các mô-đun phụ này thực hiện hành vi gian lận quảng cáo, âm thầm biến các thiết bị bị nhiễm thành một phần của mạng lưới proxy dân cư (residential proxy networks), và cài đặt thêm các phần mềm độc hại khác vào những thiết bị đã bị xâm nhập thông qua XCPE. Chúng tôi cũng đã thực hiện các biện pháp ngăn chặn các tên miền điều khiển và chỉ huy (C2) vốn được dùng để vận hành các mô-đun độc hại này. Do các đối tác tội phạm kể trên còn có những kênh phân phối khác ngoài XCPE, chúng tôi ước tính rằng việc vô hiệu hóa các tên miền C2 của chúng sẽ cắt đứt quyền truy cập vào ít nhất 10 triệu thiết bị bị xâm nhập khác.
Sự việc không chỉ dừng lại ở một loại thiết bị duy nhất. Phần mềm độc hại này được phát hiện là đã “tích hợp trực tiếp vào nhiều mẫu mã và thương hiệu thiết bị khác nhau trong suốt nhiều năm”. Phần lớn trong số đó là các thiết bị giải mã tín hiệu Android TV, nhưng mạng lưới botnet này còn lây nhiễm sang các “thiết bị IoT chạy trên nền tảng Android khác, bao gồm thiết bị chăm sóc sức khỏe từ xa, máy hát karaoke và các thiết bị hiển thị kỹ thuật số”.
Google cho biết Videostrong đã sử dụng “các kỹ thuật che giấu” để cài đặt phần mềm độc hại vào thiết bị của người dùng ngay khi họ khởi động phần cứng lần đầu tiên. Sau sự việc này, Google cũng đã thực hiện những thay đổi đối với quy trình đánh giá dành cho các nhà sản xuất thiết bị.
Nguồn: The Verge
