IT SECURITY NETWORK NEWS je B2B komunitní web zaměřený na IT bezpečnost a související témata. #security #bezpečnost #ITSECNN

Nový malware Vo1d infikuje 1,3 milionu TV boxů s Androidem po celém světě

Nový malware Vo1d infikuje 1,3 milionu TV boxů s Androidem po celém světě

Téměř 1,3 milionu TV boxů s Androidem, které běží na zastaralých verzích operačního systému a patří uživatelům z 197 zemí, bylo infikováno novým malwarem nazvaným Vo1d (také známý jako Void).

„Jedná se o backdoor, který umisťuje své komponenty do systémové úložné oblasti a na příkaz útočníků je schopen tajně stahovat a instalovat software třetích stran,“ uvedl ruský antivirový dodavatel Doctor Web ve zprávě.

Většina infekcí byla zjištěna v Brazílii, Maroku, Pákistánu, Saúdské Arábii, Argentině, Rusku, Tunisku, Ekvádoru, Malajsii, Alžírsku a Indonésii.

V současné době není známo, jaký je zdroj infekce, ačkoli se předpokládá, že mohlo jít buď o předchozí kompromitaci, která umožňuje získání root oprávnění, nebo o použití neoficiálních verzí firmwaru s vestavěným root přístupem.

Následující modely TV byly cílem kampaně:

  • KJ-SMART4KVIP (Android 10.1; KJ-SMART4KVIP Build/NHG47K)
  • R4 (Android 7.1.2; R4 Build/NHG47K)
  • TV BOX (Android 12.1; TV BOX Build/NHG47K)

 

Útok zahrnuje nahrazení souboru démona „/system/bin/debuggerd“ (původní soubor je přesunut do záložního souboru nazvaného „debuggerd_real“) a zavedení dvou nových souborů – „/system/xbin/vo1d“ a „/system/xbin/wd“ – které obsahují škodlivý kód a pracují současně.

„Před Androidem 8.0 byly pády řešeny démony debuggerd a debuggerd64,“ poznamenává Google ve své dokumentaci k Androidu. „V Androidu 8.0 a vyšších jsou podle potřeby spouštěny crash_dump32 a crash_dump64.“

Dva různé soubory dodávané jako součást operačního systému Android – install-recovery.sh a daemonsu – byly v rámci kampaně upraveny tak, aby spouštěly malware spuštěním modulu „wd“.

„Autoři trojanu se pravděpodobně pokusili zamaskovat jednu z jeho komponent jako systémový program ‘/system/bin/vold’, přičemž ji nazvali podobně vypadajícím názvem ‘vo1d’ (zaměnili malé písmeno ‘l’ za číslo ‘1’),“ uvedl Doctor Web.

Náklad „vo1d“ následně spouští „wd“ a zajišťuje jeho trvalý běh, zatímco také stahuje a spouští spustitelné soubory, když je to nařízeno serverem pro příkazy a řízení (C2). Dále sleduje specifikované adresáře a instaluje APK soubory, které v nich najde.

„Bohužel není neobvyklé, že výrobci levných zařízení využívají starší verze OS a vydávají je za novější, aby byly atraktivnější,“ uvedla společnost.

Google sdělil, že infikované modely TV nebyly certifikovanými zařízeními Android s Play Protect a pravděpodobně používaly zdrojový kód z repozitáře Android Open Source Project.

Zdroj: thehackernews.com