Google Threat Intelligence Group s vysokou mírou jistoty tvrdí, že backdoor i botnet záměrně vyvinula a provozovala přímo společnost Videostrong Technology Co. – výrobce a dodavatel Android zařízení (OEM/ODM) – za účelem finančního zisku.
Jak fungoval byznys model
Videostrong monetizovala backdoor prodejem přístupu kriminálním přidruženým skupinám a instalací jejich malwarových modulů do infikovaných zařízení. Tyto sekundární moduly prováděly podvody s reklamou, tajně zapojovaly zařízení do sítí rezidenčních proxy serverů a stahovaly do nich další malware.
Google zároveň zasáhl proti řídicím (C2) doménám, které tyto přidružené moduly ovládají. Protože mají tyto přidružené skupiny diverzifikované distribuční kanály i mimo XCPE, Google odhaduje, že vyřazení jejich C2 domén odřízne přístup k dalším nejméně 10 milionům kompromitovaných zařízení.
Škodlivý software byl vestavěn přímo do firmwaru různých modelů a značek zařízení po dobu několika let, podporovaný vlastní infrastrukturou a průběžně se vyvíjejícími konfiguracemi, které sloužily k úniku před detekcí a správě přidružených skupin. Google nepovažuje kampaň za ojedinělé selhání nebo čin osamoceného zaměstnance – s Videostrong proto ukončil spolupráci a natrvalo jí zakázal vyrábět zařízení s předinstalovanými aplikacemi Google.
Mezera v testovacím procesu
Google od výrobců vyžaduje sadu kompatibilních a bezpečnostních testů, které mají zajistit konzistentní a bezpečné prostředí v celém ekosystému Android. Videostrong ale použila speciální techniky k obejití testů a škodlivý kód nahrávala až po prvním spuštění zařízení. Google v reakci na to zavedl změny ve svém schvalovacím procesu, aby podobnou činnost v budoucnu lépe odhalil.
V rámci narušení botnetu Google:
- podnikl právní kroky k odstavení domén a serverů, které Videostrong používala k řízení botnetu a instalaci malwarových modulů,
- podnikl právní kroky proti C2 doménám používaným více než desítkou malwarových rodin šířených přes tento backdoor,
- natrvalo zakázal firmě Videostrong a jejím případným budoucím dceřiným společnostem či partnerům vyrábět a prodávat certifikovaná Android zařízení nebo dodávat software jiným certifikovaným výrobcům,
- zavedl vylepšení procesu ověřování integrity firmwaru u certifikovaných zařízení Android TV.
Třístupňová architektura malwaru
Videostrong od konce roku 2024 vyvíjela předinstalovaný malware z jednoduchých jednostupňových dropperů do modulární třístupňové architektury navržené pro odolnost a monetizaci více přidružených skupin současně:
Primární backdoor. Komponenta x.cpe (v některých verzích firmwaru pod názvem com.oemservice) běží s oprávněním android.uid.system a je předinstalovaná ve firmwarové partition. Pokud ji uživatel odinstaluje, po restartu se automaticky znovu nainstaluje z partition /oem/, čímž si udržuje trvalý přístup na systémové úrovni. Jejím hlavním úkolem je zprostředkovávat komunikaci mezi C2 serverem a loaderem.
Loader a vykonávací engine. Aby x.cpe unikl bezpečnostním skenům, funguje primárně jako komunikátor s C2 serverem a vykonávání modulů přesouvá na externí loader com.abc.nexus. Ten používá nativní nástroje proti analýze, aby zabránil detekci v sandboxu, a konfiguruje monetizační moduly. V nejnovějších verzích je com.abc.nexus postupně nahrazován cílenějšími droppery, které načítají a spouštějí jednotlivé moduly samostatně.
Monetizační moduly. Vyvíjejí je třetí strany vystupující jako přidružené subjekty. Nasazují se jako nativní ELF démoni, SDK vestavěná přímo do bajtkódu com.abc.nexus, nebo jako samostatné APK stahované z infrastruktury útočníků. Mění infikovaná zařízení na výstupní uzly rezidenčních proxy sítí (Linkfog, AppSalt/Honeygain, NetNut), nástroje pro reklamní podvody (CBOXTV/Fission, HiddenView), případně instalují další backdoory, které načítají ještě více monetizačních modulů (Moyu, Spirit).
Dvoustupňová komunikace s řídicím serverem
Botnet využívá dvoustupňový C2 proces. Nejprve odesílá HTTP POST požadavky k získání dynamické konfigurace, geolokačních dat a parametrů STUN serveru. Následně naváže trvalé spojení protokolem MQTT, přes které přijímá příkazy k tichým instalacím aplikací, spouštění libovolných shellových příkazů, pořizování snímků obrazovky a síťové rekognoskaci.
Analýza C2 dat ukázala, že převážná většina interakcí s napadenými zařízeními souvisela s instalací, odinstalací a konfigurací modulů. Google ale zaznamenal i citlivější zásahy operátorů – pořizování živých snímků obrazovky, vkládání kláves, exfiltraci citlivých dat (přihlašovací účty, informace o zařízení, seznamy nainstalovaných balíčků, systémové logy) a spouštění shellových skriptů včetně zakládání reverzních shellů.
Malware navíc aktivně vypínal ochranu Google Play Protect nastavením systémové proměnné package_verifier_user_consent na hodnotu –1, aby mohl tiše stahovat a spouštět další soubory bez souhlasu uživatele.
Profesionální video a vylepšení od srpna 2026
Od srpna 2026 se přes MQTT kanál instalují nové droppery, jejichž nasazení je synchronizováno s hromadnou odinstalací com.abc.nexus napříč botnetem – podle Google jde o další evoluci malwaru směřující k lepšímu úniku před detekcí. Nové balíčky se maskují jako systémové aplikace Androidu (například com.android.system.ntp nebo com.android.sso.auth.handler) a na rozdíl od univerzálního com.abc.nexus instalují vždy jen jeden konkrétní monetizační modul.
Tyto varianty obsahují nativní soubor libexploit.so, který restartuje lokální službu adbd jako root a naváže ADB shell spojení, přes které se aplikace sama nainstaluje do systémové partition s oprávněními INSTALL_PACKAGES a REBOOT.
Postižená zařízení
Drtivá většina infikovaných zařízení jsou set-top boxy s Android TV, Google ale zaznamenal i další infikovaná IoT zařízení s Androidem – telemedicínská zařízení, karaoke přístroje nebo digitální zobrazovací jednotky. Botnet je rozprostřen celosvětově, s koncentracemi, které pravděpodobně odpovídají tržnímu podílu konkrétních distributorů značky.
Na řadě zařízení přitom běželo současně i několik proxy modulů s obdobnou funkcí – Google zaznamenal až tři rezidenční proxy SDK na jednom zařízení. Z toho je zřejmé, že se Videostrong snažila z každého infikovaného kusu vytěžit maximum.
Computertrends si můžete objednat i jako klasický časopis. Je jediným odborným magazínem na českém a slovenském trhu zaměreným na profesionály v oblasti informačních a komunikačních technologií (ICT). Díky silnému zázemí přináší aktuální zpravodajství, analýzy, komentáře a přehledy nejnovejších technologií dříve a na vyšší odborné úrovni, než ostatní periodika na tuzemském trhu.
Obsah Computertrends je určen odborníkům a manažerům z firem a institucí, kteří se podílejí na rozhodovacím procesu při nákupu ICT technologií. Jednotlivá čísla si můžete objednat i v digitální podobě.
PŘEDPLATNÉ
ČLÁNKY DO MAILU