وقتی تلویزیون شما جاسوس می‌شود: کالبدشکافی بات‌نت ۱.۳ میلیونی در قلب اندروید

وقتی مهر تایید گوگل، پوششی برای یک تروجان سیستمیک می‌شود

همیشه به ما گفته‌اند که وقتی سراغ محصولات دارای گواهی‌نامه (Certified) می‌روید، یعنی یک لایه امنیتیِ تضمین‌شده از سوی گوگل دارید. اما ماجرای اخیر بات‌نت x.cpe نشان داد که حتی «Play Protect» هم در برابر مهندسی معکوسِ سیستماتیک یک تولیدکننده سخت‌افزار، گاهی فلج می‌شود. شرکت «Videostrong Technology» مستقر در شنژن، با استفاده از تکنیک‌های مبهم‌سازی (Obfuscation) کد، توانست سیستم ارزیابی گوگل را دور بزند. این یعنی ۱.۳ میلیون دستگاه اندرویدی که با لوگوی رسمی گوگل در خانه‌های مردم بودند، نه یک ابزار سرگرمی، بلکه یک «سربازِ پیاده» در ارتشِ سایبری بودند.

این نفوذ نه در مرحله تولید، بلکه از طریق یک «بک‌دور» هوشمندانه رخ داد. دستگاه‌ها بدون بدافزار از کارخانه خارج می‌شدند، اما به محض اینکه به اینترنت متصل می‌شدند، یک پکیج به ظاهر بی‌خطر به نام com.oemservice فعال می‌شد. این پکیج، دسترسی‌های سطح سیستم (System-level permissions) را می‌گرفت و بلافاصله Play Protect را غیرفعال می‌کرد. این یک «جهش استدلالی» در طراحی بدافزار است؛ آن‌ها به جای آلوده کردن فایل اصلی سیستم، یک «میزبان» خنثی فرستادند که بعداً بارهای مخرب را دریافت می‌کرد.

تجارت پرسود از جیب کاربران بی‌خبر

سوال اصلی اینجاست: چرا یک تولیدکننده باید چنین ریسک بزرگی را بپذیرد؟ پاسخ ساده و تلخ است؛ پولِ کثیف. این بات‌نت صرفاً برای نمایش تبلیغات جعلی (Ad Fraud) یا ایجاد پروکسی‌های مسکونی (Residential Proxies) برای عبور ترافیک‌های غیرقانونی استفاده می‌شد. تصور کنید پهنای باند خانگی شما یا قدرت پردازشی تلویزیون‌تان، بی‌آنکه بدانید، دارد برای حملات سایبری به جای دیگری در دنیا استفاده می‌شود.

شواهد نشان می‌دهد که Videostrong حتی به صورت زنده به محیط ترمینال دستگاه‌ها دسترسی داشت. آن‌ها می‌توانستند از صفحه نمایش اسکرین‌شات بگیرند، دستورات شل (Shell Commands) اجرا کنند و حتی دستگاه‌های دیگر در شبکه محلی (LAN) شما را اسکن کنند. این یعنی امنیتِ شبکه خانگی میلیون‌ها نفر، از جمله کاربران در آلمان، بریتانیا و حتی برزیل و مالزی، به خاطر سودجویی چند گرداننده بات‌نت به حراج گذاشته شده بود.

پایان یک شراکت؛ آیا امنیت به خانه بازمی‌گردد؟

گوگل بالاخره تایید کرد که این فعالیت‌ها کار یک هکر مستقل نبوده، بلکه بخشی از استراتژی خودِ Videostrong بوده است. در نتیجه، ارتباط گوگل با این شرکت و زیرمجموعه‌هایش برای همیشه قطع شد. یعنی از این پس، هیچ دستگاه جدیدی از این تولیدکننده حق استفاده از خدمات گوگل، پلی‌استور یا برندینگ اندروید را ندارد. اما یک مشکل بزرگ باقی می‌ماند: بدافزارها هنوز روی دستگاه‌های میلیون‌ها کاربر نصب هستند.

از آنجایی که این کدهای مخرب در سطح سیستم (System App) تزریق شده‌اند، کاربر عادی نمی‌تواند آن‌ها را به راحتی پاک کند. حتی با قطع ارتباط سرورهای فرماندهی (C&C)، آن کدهای مخرب همچنان در بطن سیستم‌عامل خوابیده‌اند. اینجاست که می‌بینیم چرا «پنجره کانتکست» امنیتی گوگل در برابر چنین حملات لایه‌بندی شده‌ای، گاهی نیاز به بازنگری اساسی دارد. گوگل اکنون در حال تغییر فرآیند صدور گواهی‌نامه است تا این حفره‌ها را ببندد، اما دنیای اندرویدِ متن‌باز (Open Source) همیشه راه را برای تولیدکنندگانِ بدونِ گواهی باز می‌گذارد.

درس‌هایی از یک فاجعه برای دنیای متصل

این رخداد یک زنگ خطر جدی برای آینده ایجنت‌های خودمختار و دستگاه‌های اینترنت اشیا (IoT) است. وقتی یک دستگاه ساده مثل Android TV می‌تواند به یک ایجنت مخرب تبدیل شود، تصور کنید اگر این سطح از دسترسی به یک دستیار هوشمند خانگی یا یک ترموستات متصل به شبکه داده شود، چه فاجعه‌ای رخ می‌دهد؟

پیشنهاد من به شما این است: اگر از دستگاه‌های با برندهای ناشناخته یا برندهایی مثل «MECOOL» استفاده می‌کنید، حتماً لیست دستگاه‌های آلوده منتشر شده توسط «Synthient» و «Trend Micro» را چک کنید. دنیای تکنولوژی در حال حرکت به سمت پیچیدگی بیشتر است و متأسفانه، همان‌طور که مدل‌های زبانی در حال تکامل هستند، روش‌های نفوذ هم از «اسکریپت‌های ساده» به «پلتفرم‌های ماژولار» تغییر شکل داده‌اند. هوشیاریِ کاربر، تنها لایه امنیتی است که هنوز توسط هیچ الگوریتمی دور زده نشده است.