۱.۳ میلیون تلویزیون، پنهانی برای هکرها جاسوسی می‌کنند
به گزارش خبرگزاری آنا، به نقل از «BleepingComputer»؛ گوگل و چند شرکت امنیت سایبری با همکاری یکدیگر شبکه بدافزاری بزرگی به نام XCPE را مختل کرده‌اند. این شبکه بیش از ۱.۳ میلیون دستگاه اندرویدی، تعداد زیادی از اندرویدباکس‌ها و گیرنده‌های تلویزیونی، را به بخشی از یک زیرساخت مجرمانه تبدیل کرده بود. بررسی‌های گروه اطلاعات تهدید گوگل نشان می‌دهد این بدافزار به صورت عمدی و با هدف کسب درآمد از فعالیت‌های مجرمانه، توسط شرکت سازنده دستگاه‌ها توسعه داده و توزیع شده است.
این پرونده یک نکته نگران‌کننده دارد؛ اینکه کاربران برای آلوده شدن نیازی به نصب برنامه‌ای مشکوک یا بازکردن لینک آلوده نداشتند. بدافزار از ابتدا در میان‌افزار یا همان Firmware دستگاه قرار گرفته بود که پیش از رسیدن محصول به دست خریدار، عملکردهای پایه دستگاه را کنترل می‌کند. به این ترتیب، کاربر ممکن بود دستگاهی را از بازار تهیه کند، به تلویزیون وصل کند و از آن برای تماشای محتوای آنلاین استفاده کند، بی‌آنکه بداند بخشی از یک شبکه مخرب شده است.
بدافزار از کجا به خانه کاربران آمد؟
بر اساس گزارش گروه اطلاعات تهدید گوگل، این عملیات به شرکت چینی Videostrong Technology نسبت داده شده است که در زمینه تولید و طراحی دستگاه‌های مبتنی بر اندروید فعالیت می‌کند. گوگل اعلام کرده با اطمینان بالایی ارزیابی می‌کند که این شرکت، درِ پشتی یا همان Backdoor را به صورت عمدی در محصولات خود تعبیه کرده و دسترسی به دستگاه‌های آلوده را در اختیار همکاران مجرمانه قرار داده است.
این بدافزار در مدل‌ها و برندهای مختلفی از دستگاه‌ها دیده شده و بخش زیادی از دستگاه‌های آلوده با نام تجاری MECOOL به بازار عرضه شده‌اند. نکته مهم‌تر آن است که برخی از این محصولات حتی گواهی تأیید گوگل را نیز داشتند؛ موضوعی که نشان می‌دهد سازندگان بدافزار با استفاده از روش‌های پنهان‌سازی، توانسته بودند فرایندهای بررسی امنیتی را دور بزنند و کد مخرب را پس از نخستین راه‌اندازی دستگاه بارگذاری کنند.
گوگل در واکنش به این اتفاق، همکاری خود با Videostrong را قطع کرده و این شرکت و زیرمجموعه‌های آینده آن را از تولید دستگاه‌های اندرویدی دارای تأییدیه گوگل و عرضه نرم‌افزار برای محصولات تأییدشده محروم کرده است. این شرکت همچنین اعلام کرده فرایندهای بررسی و تأیید امنیتی میان‌افزار دستگاه‌های Android TV را تقویت می‌کند.
یک تلویزیون آلوده چه کاری انجام می‌دهد؟
در نگاه اول ممکن است تصور شود دستگاهی که فقط برای تماشای فیلم و سریال به اینترنت متصل است، ارزش چندانی برای مجرمان سایبری ندارد؛ اما ماجرای XCPE نشان می‌دهد همین دستگاه‌ها می‌توانند به ابزار درآمدزایی مجرمان تبدیل شوند.
بدافزار پس از فعال‌شدن، با سرورهای فرماندهی و کنترل ارتباط برقرار می‌کرد و امکان دریافت دستورهای مختلف را در اختیار گردانندگان شبکه قرار می‌داد. این دستورات می‌توانستند شامل نصب پنهانی برنامه‌های دیگر، اجرای فرمان‌های سیستمی، دریافت اطلاعات دستگاه و حتی ثبت تصویر از صفحه نمایش باشند. گوگل همچنین گزارش داده که در جریان بررسی‌ها، مواردی از استخراج اطلاعات حساب‌ها، فهرست برنامه‌های نصب‌شده و گزارش‌های سیستمی را مشاهده کرده است.
یکی از مهم‌ترین کاربردهای دستگاه‌های آلوده، تبدیل آن‌ها به گره‌هایی در شبکه پراکسی مسکونی بود. در این روش، ترافیک اینترنتی افراد یا سامانه‌های دیگر از طریق اتصال اینترنت خانه قربانی عبور می‌کند. در نتیجه، فعالیت آنلاین شخص ثالث به‌گونه‌ای نمایش داده می‌شود که انگار از نشانی اینترنتی همان خانه انجام شده است. چنین قابلیتی می‌تواند برای پنهان کردن منشا فعالیت‌های مشکوک یا دورزدن محدودیت‌های اینترنتی مورد سوءاستفاده قرار گیرد.
بخش دیگری از این شبکه نیز در تقلب تبلیغاتی فعالیت می‌کرد؛ برای مثال، با بارگذاری پنهانی صفحات وب و ایجاد بازدید یا کلیک جعلی روی تبلیغات، درآمد غیرواقعی تولید می‌کرد. برخی ماژول‌ها هم وظیفه نصب بدافزارهای دیگر را بر عهده داشتند. به این ترتیب، یک اندرویدباکس آلوده فقط یک دستگاه قربانی نبود، بلکه می‌توانست به سکویی برای اجرای چند نوع فعالیت مجرمانه تبدیل شود.
آیا مختل‌شدن شبکه به معنای پاک‌شدن بدافزار است؟
گوگل اعلام کرده با اقدام‌های حقوقی و فنی، دامنه‌ها و سرورهای مورد استفاده برای کنترل شبکه XCPE و توزیع ماژول‌های مخرب را از دسترس خارج کرده است. این عملیات با همکاری نهادها و شرکت‌هایی از جمله پلیس ملی ژاپن، Lumen، HUMAN Security، Plume، Synthient و TrendAI انجام شده است.
با این حال، مختل‌شدن زیرساخت فرماندهی و کنترل به معنای حذف کامل بدافزار از دستگاه‌های آلوده نیست. گزارش BleepingComputer توضیح می‌دهد که بخش اصلی بدافزار در پارتیشن سیستمی دستگاه قرار می‌گیرد و اگر کاربر آن را از مسیرهای معمول حذف کند، ممکن است پس از راه‌اندازی مجدد دوباره نصب شود. بنابراین، قطع دسترسی گردانندگان شبکه لزوماً به معنای پاک‌شدن آلودگی از دستگاه نیست.
از سوی دیگر، گوگل اعلام کرده با مختل‌کردن سرورهای فرماندهی مرتبط با بیش از دوازده خانواده بدافزاری دیگر، دسترسی مجرمان به دست‌کم ۱۰ میلیون دستگاه آلوده دیگر را نیز هدف قرار داده است. این دستگاه‌ها الزاماً عضو شبکه XCPE نبودند و از مسیرهای دیگری آلوده شده بودند؛ در میان آن‌ها علاوه بر گیرنده‌های تلویزیونی، دستگاه‌های کارائوکه و تجهیزات سلامت از راه دور نیز دیده می‌شدند.
مجله Ars Technica نیز گزارش داده است که پس از این عملیات، برخی از اجزای بدافزار ممکن است همچنان روی دستگاه‌های آسیب‌دیده باقی بمانند و به دلیل قرارگرفتن در سطح برنامه‌های سیستمی، حذف آن‌ها برای کاربران عادی آسان نیست. این موضوع نشان می‌دهد پاک‌سازی کامل دستگاه‌های آلوده، مسئله‌ای جدا از مختل‌کردن سرورهای مجرمان است.
چگونه از اندرویدباکس خانه محافظت کنیم؟
این پرونده به معنای آلوده بودن همه تلویزیون‌های هوشمند یا اندرویدباکس‌های موجود در بازار نیست. بخش عمده دستگاه‌های شناسایی شده در شبکه XCPE، گیرنده‌های مبتنی بر اندروید بودند و نباید آن‌ها را با تمام تلویزیون‌های هوشمند یا محصولات رسمی برندهای معتبر یکسان دانست. با این حال، ماجرا بار دیگر نشان می‌دهد که امنیت یک دستگاه هوشمند فقط به برنامه‌هایی که کاربر روی آن نصب می‌کند وابسته نیست؛ نرم‌افزار اولیه، سازنده و زنجیره تأمین محصول نیز اهمیت دارند.
برای کاهش خطر، بهتر است هنگام خرید اندرویدباکس به سراغ فروشندگان معتبر و محصولات دارای پشتیبانی نرم‌افزاری مشخص بروید. دستگاه‌های بی‌نام‌ونشان، مدل‌هایی با منشا نامعلوم و محصولاتی که به‌روزرسانی امنیتی دریافت نمی‌کنند، ریسک بیشتری دارند. به‌روزرسانی میان‌افزار از مسیر رسمی سازنده، پرهیز از نصب فایل‌های APK ناشناس و بررسی دسترسی‌های غیرضروری برنامه‌ها نیز از اقدام‌های احتیاطی مهم هستند.
در این پرونده، گوگل و Ars Technica به فهرستی از مدل‌های شناسایی‌شده اشاره کرده‌اند که می‌تواند برای بررسی دستگاه‌های مشکوک مفید باشد؛ با این حال، صرف شباهت نام یا ظاهر یک محصول برای نتیجه‌گیری درباره آلودگی آن کافی نیست. در صورت استفاده از مدل‌های مشکوک، باید اطلاعیه‌های رسمی سازنده و گزارش‌های معتبر امنیتی را دنبال کرد و از نصب ابزارهای ناشناس برای پاک‌سازی دستگاه خودداری کرد.
خانه هوشمند، بدون امنیت هوشمند
پرونده XCPE یادآوری می‌کند که با اتصال هر وسیله به اینترنت، بخشی از سطح حمله سایبری خانه نیز گسترش پیدا می‌کند. تلویزیون، اندرویدباکس، دوربین و دیگر ابزارهای هوشمند ممکن است از نظر کاربر وسایلی ساده و کم‌خطر باشند، اما در صورت ضعف امنیتی می‌توانند به نقطه ورود مجرمان یا بخشی از زیرساخت آن‌ها تبدیل شوند.
نگرانی اصلی فقط این نیست که یک دستگاه آلوده شود؛ مسئله این است که کاربر حتی ممکن است متوجه نشود اینترنت خانه‌اش برای فعالیت‌هایی خارج از کنترل او به کار گرفته می‌شود. به همین دلیل، هنگام خرید تجهیزات هوشمند نباید تنها به قیمت، امکانات و کیفیت تصویر توجه کرد. اعتبار سازنده، شفافیت درباره به‌روزرسانی‌ها و امنیت میان‌افزار نیز باید بخشی از معیار انتخاب باشند. خانه هوشمند زمانی واقعا هوشمند است که امنیت آن هم جدی گرفته شود.
انتهای پیام/
