1,3 triệu thiết bị Android dính mã độc, Google cấm cửa nhà sản xuất Trung Quốc

Google phát hiện mạng mã độc trên 1,3 triệu thiết bị Android

Ngày 3/11, Google xác nhận Videostrong Technology, nhà sản xuất thiết bị giải mã truyền hình có trụ sở tại Thâm Quyến, Trung Quốc, đã cố tình cài đặt cửa hậu vào khoảng 1,3 triệu thiết bị Android, chủ yếu là Android TV Box.

Theo Google, phần mềm độc hại cho phép các đối tượng bên ngoài âm thầm kiểm soát thiết bị, thu thập dữ liệu, gian lận quảng cáo và chuyển tiếp lưu lượng mạng trái phép. Mạng lưới thiết bị bị xâm nhập được gọi là XCPE, hoạt động theo mô hình botnet, trong đó nhiều thiết bị kết nối Internet bị điều khiển từ xa mà người dùng không hay biết.

1,3 triệu thiết bị Android dính mã độc, Google cấm cửa nhà sản xuất Trung Quốc

Sau khi xác nhận vụ việc, Google phối hợp với các đối tác an ninh mạng vô hiệu hóa hạ tầng vận hành botnet XCPE. Đồng thời, hãng cấm vĩnh viễn Videostrong tham gia chương trình chứng nhận Android, thu hồi quyền truy cập vào các công cụ liên quan và mở rộng lệnh cấm tới những công ty con, đơn vị liên kết trong tương lai.

Google cũng công bố 168 tài nguyên mạng liên quan đến chiến dịch cùng 22 biến thể phần mềm độc hại. Trước đó, công ty an ninh mạng Synthient từng phát hiện mã độc cài sẵn trên mẫu Android TV Box Mecool KM9PRO Max do Videostrong sản xuất.

Synthient còn xác định khoảng 180 mã thiết bị liên quan, đồng thời cho rằng số lượng thiết bị bị ảnh hưởng thực tế có thể cao hơn con số 1,3 triệu. Malaysia, Mexico và Brazil được ghi nhận là những khu vực có mật độ thiết bị nhiễm mã độc cao.

Lỗ hổng chuỗi cung ứng Android đặt ra cảnh báo bảo mật

Theo các nhà nghiên cứu, mạng mã độc XCPE đã hoạt động ít nhất từ năm 2024. Videostrong bị cáo buộc sử dụng kỹ thuật che giấu để vượt qua quy trình kiểm tra bảo mật, sau đó triển khai mã độc khi thiết bị khởi động lần đầu. Ban đầu, hệ thống sử dụng chương trình tải mã độc ABCNexus, trước khi chuyển sang những công cụ nhỏ hơn, phục vụ các mục đích khai thác khác nhau.

Google cho biết quyền truy cập cửa hậu đã được bán cho các đối tượng tội phạm mạng, cho phép họ triển khai thêm phần mềm độc hại lên thiết bị. Vụ việc làm dấy lên lo ngại về an ninh chuỗi cung ứng trong hệ sinh thái Android, đặc biệt khi mã độc có thể xuất hiện từ khâu sản xuất thay vì chỉ lây nhiễm sau khi người dùng cài ứng dụng.

Theo các nhà nghiên cứu an ninh mạng được dẫn trong báo cáo, trường hợp Videostrong cho thấy nguy cơ từ những thiết bị đã bị can thiệp trước khi đến tay người tiêu dùng. Dù Google đã vô hiệu hóa hạ tầng botnet và thu hồi quyền chứng nhận của Videostrong, khoảng 1,3 triệu thiết bị được xác định có nguy cơ bị xâm nhập vẫn có thể đang được sử dụng.

Đáng chú ý, Google chưa công bố hướng dẫn khắc phục cụ thể dành cho chủ sở hữu những thiết bị bị ảnh hưởng. Sự cố cho thấy việc kiểm soát phần mềm cài sẵn và giám sát đối tác sản xuất là thách thức quan trọng đối với Android, khi các cuộc tấn công mạng ngày càng nhắm sâu vào chuỗi cung ứng thiết bị.