Россиянам грозит «уголовка» из-за «дырявых» Android-устройств. Через них мошенники используют домашние сети для хакерских атак

Популярные в России дешевые китайские ТВ-приставки содержат опасный бэкдор для показа рекламы и компрометации локальных сетей – домашних и офисных. Хакеры затем используют их в своих махинациях, чтобы возможные претензии правоохранительных органов направлялись владельцам этих сетей. Удалить вредонос невозможно – он внедрен в прошивку и является ее частью.

Хакерские Android-устройства
В России и мире получили широкое распространение тысячи Android-устройств со взломанной прошивкой, в которую встроено неудаляемое вредоносное ПО. Как пишет Bleeping Computer, это в первую очередь ТВ-приставки бюджетного ценового сегмента, которые можно купить, к примеру, на AliExpress, и которые пользуются очень высоким спросом. Редакция CNews нашла такие приставки в каталогах российских маркетплейсов.

Началось все еще в январе 2023 г., когда эксперт по кибербезопасности Дэниел Милишич (Daniel Milisic), нашел в Android-приставке Т95 вредонос, который невозможно удалить. Теперь, как выяснилось, список пополнился моделями T95Z, T95MAX, X88, Q9, X12PLUS и MXQ Pro 5G, а также планшетным компьютером без бренда и с модельным номером J5-W – их опасность доказали ИБ-эксперты из группы Human Security.

Как опасный софт оказался в составе Т95, выяснить так и не удалось – по мнению ряда ИБ-специалистов, он был внедрен в приставки в промежутке между отправкой партий с завода – изготовителя и их появлением в ассортименте ритейлеров.

В каждом из перечисленных устройств используется один и тот же вредонос – это бэкдор, который превращает домашнюю беспроводную сеть в своего рода удаленный хакерский центр. Пользователям это может грозить различными неприятностями с законом, потому что хакерские атаки будут вестись именно с их IP-адреса, и им потом придется доказывать, что они не имеют к ним отношения.

Чем грозит заражение
Специалисты Human Security нарекли вредоносное ПО названием Badbox, а кампанию по его распространению назваили Peachpit. Вредоносное ПО основано на вирусе Triada, впервые обнаруженном «Лабораторией Касперского» в 2016 г. Оно едва заметно модифицирует ОС Android, позволяя ей получать доступ к приложениям, установленным на устройстве. После этого приложения получают возможность подключаться к удаленному серверу, расположенному в Китае, с которого начинают поступать различные команды.

В частности, при подключении к серверу установленный на приставку софт начинает показывать пользователям рекламу и генерировать поддельные аккаунты Google Mail и WhatsApp. А поскольку операторы командного центра получают доступ к домашним и офисным сетям, они этот доступ продают киберпреступникам, чтобы те могли использовать эти сети в качестве своего рода прокси-серверов для своей незаконной деятельности.

Таким образом, владельцев таких приставок потенциально могут привлечь к уголовной ответственности по нескольким статьям УК РФ – ст 272. (неправомерный доступ к компьютерной информации), ст. 273 (создание, использование и распространение вредоносных компьютерных программ и, в теории, ст. 274.1 (неправомерное воздействие на критическую информационную инфраструктуру России) или ст 274.2 («нарушение правил централизованного управления техническими средствами противодействия угрозам устойчивости, безопасности и целостности функционирования на территории России информационно-телекоммуникационной сети "Интернет" и сети связи общего пользования). По первым двум статьям максимальный срок тюремного заключения – семь лет, по третьей – 10 лет, по четвертой – три года.

Потенциально опасные приставки даже не нужно заказывать из Китая - они массово продаются в России
Эксперты Human Security утверждают, что доступ к таким сетям еще не так давно очень активно продавался в даркнете. Авторы объявлений заверяли, что имеют доступ к более чем 10 млн домашних и 7 млн мобильных IP-адресов.

Вероятность проблем слишком высока
На момент выхода материала наличие неудаляемого бэкдора ИБ-эксперты Human Security выявили пока лишь в перечисленных семи Android-устройствах – шести ТВ-приставках и одном планшете. В общей сложности они сумели обнаружить около 74 тыс. таких устройств по всему миру – большинство используются дома, но некоторые работают в компаниях и образовательных учреждениях.

Подозрение Human Security пало еще на 200 различных гаджетов на базе Android, но доказательств у экспертов пока нет. Если они все же найдутся, количество зараженных устройств может вырасти на порядки, в зависимости от совокупной популярности этих девайсов.

Опасность сохраняется
Как сообщил Дэниел Милишич, в настоящее время командный сервер, к которому подключались все зараженные ТВ-приставки и планшеты, физически отключен. Это означает, что бэкдор на данный момент, фактически обезврежен.

Однако это вовсе не означает, что опасность миновала, и что можно не беспокоиться и покупать перечисленные ТВ-приставки. Как пишет портал Bleeping Computer, само вредоносное ПО из устройств никуда не исчезло, и его, теоретически, можно реанимировать, удаленно подключив к новым командным серверам.

Кроме того, есть несколько миллионов подобных случаев, не связанных с Badbox. Ранее ИБ-компания Trend Micro раскрыла аналогичную кампанию по распространению вредоносного ПО, охватившую около 20 млн затронутых устройств, что показывает, насколько широко распространенной может быть проблема, если рассматривать ее в целом.

Также в мае 2023 г. CNews освещал историю о 50 производителях Android-устройств, почти одновременно начавших выпуск гаджетов с предустановленными вирусами и рекламным ПО. Это смартфоны, ТВ-приставки, умные телевизоры и даже смарт-часы – в общей сложности около 9 млн экземпляров современной техники.

gkrasnyi писал(а):

например на Android-приставку Т95 есть на 4ПДА

ProxyNick писал(а):

Есть 4pda и XDA с альтернативными прошивками.

А прошивки с 4pda и XDA как проходят аудит? И кто это осуществляет, комьюнити?

Добавлено спустя 7 минут 26 секунд:

Azimut500 писал(а):

Покупать просто нужно только сертифицированные устройства, в них сертифицированные прошивки и желательно от крупных вендоров.

А как это поможет, если проблема в ритейлерах, которым ничто не мешает установить плохую прошивку?

Цитата:

по мнению ряда ИБ-специалистов, он был внедрен в приставки в промежутке между отправкой партий с завода – изготовителя и их появлением в ассортименте ритейлеров

я вот все это читаю и вопросом задаюсь - доступ по МАС адресу девайса религия не дозволяет, или сложно слишком?
на домашнем роутрере тока мой смарт, мой же планшет.и все друзья приходят - опять же - дай МАС адрес девайса или в сад. да и то гости ушли - адреса в блок, до следующего прихода.

Nouname technology на то оно и есть

zxc4 писал(а):

чем 4pda не угодил? Tabом и его шайкой, они кучу своих модеров и их помощников(толковых причем, ромоделов) забанили. xda-developers тогда уж.

Все верно, на 4Pda обитают одни неандертальцы, скажешь им слово, как обиженки бегут банить))) Не говоря уже об их заказных статейках, которые пишут школьники.

zxc4 писал(а):

я вот все это читаю и вопросом задаюсь - доступ по МАС адресу девайса религия не дозволяет, или сложно слишком? на домашнем роутрере тока мой смарт, мой же планшет.и все друзья приходят - опять же - дай МАС адрес девайса или в сад. да и то гости ушли - адреса в блок, до следующего прихода.

90% обычных пользователей таких слов не знает - МАС-адрес. У них фраза "Не работает Интернет" может означать, что угодно, вплоть до невозможности открыть браузер. А Вы предлагаете зайти в настройки роутера, найти "Сетевой экран" и прописать МАК, который надо для начала еще найти на телефоне.

Ruroni-SPb, совершенно верно. Кстати, даже, если полиция ничего не докажет, то изъятие всей техники при обыске вряд ли обрадует владельца.

PavelSC писал(а):

90% обычных пользователей таких слов не знает - МАС-адрес. У них фраза "Не работает Интернет" может означать, что угодно, вплоть до невозможности открыть браузер. А Вы предлагаете зайти в настройки роутера, найти "Сетевой экран" и прописать МАК, который надо для начала еще найти на телефоне.

А 99.9% из тех кто об этом слышал, или даже не плохо понимают в настройке - забьют болт. Я уже лет 10 всё собираюсь маки вбить
А учитывая что несколько лет собирал умный дом на вифи, то следующие лет 10 так и буду собираться

Может уже хватит запугивать.Как бы самим не оказаться оторванными от жизни.Куда не плюнь везде "боги" угрожают россиянам.

Фантазии какого то подсвинка. Где прецедент?

Как страшно жыыть. Все пля... Пошел копать землянку

zxc4 писал(а):

чем 4pda не угодил? Tabом и его шайкой, они кучу своих модеров и их помощников(толковых причем, ромоделов) забанили. xda-developers тогда уж.

а какое тебе дело кто кого банит, какие модераторы, или кто с кем спит...
ты пришел скачать прошивку и все.

zxc4 писал(а):

доступ по МАС адресу девайса религия не дозволяет, или сложно слишком? на домашнем роутрере тока мой смарт, мой же планшет.и все друзья приходят - опять же - дай МАС адрес девайса или в сад.

Не всегда удобно, домашние устройства и друзья обычно постоянные, но часто приношу домой настраивать чужие устройства, каждый раз прописывать MAC потеря времени, хотя и не так существенно. Но это не дает безопасности, только в теории её повышает. Уязвимость ПО на то и уязвимость, что методы защиты не работают, обходятся. Такая классика, как атаки на переполнение буфера, отказ в обслуживании и прочие. К тому же, если нарушитель подготовлен, может перехватить MAC и осуществить подмену. Это как с PortKnock, вроде как защита, а на стороне провайдера Wireshark или аналогичное "секрет" раскроет. Перехват и скрытый анализ WiFi трафика, подмена, атаки - инструментов эффективных много, с набором эксплоитов имеющихся уязвимостей разнообразного ПО маршрутизаторов с Wi-Fi.
У меня все домашние устройства подключены кабелем к коммутатору, запустить Winbox и включить ТД для беспроводного ненадолго - несколько кликов, потом выключить.

Dealaxer писал(а):

на 4Pda обитают одни неандертальцы, скажешь им слово, как обиженки бегут банить)))

За многие годы постинга пока ни одного р/о или бана, в отличие от другого ресурса.