TechTalkThai ศูนย์รวมข่าว Enterprise IT ออนไลน์แห่งแรกในประเทศไทย
Google Threat Intelligence Group (GTIG) ร่วมกับพันธมิตรในอุตสาหกรรมทลาย Botnet XCPE ที่ควบคุม Android TV Set-top Box กว่า 1.3 ล้านเครื่อง โดยพบว่า Backdoor ถูกฝังมาใน Firmware ตั้งแต่โรงงานโดย Videostrong Technology ผู้ผลิตอุปกรณ์เอง เพื่อขายสิทธิ์เข้าถึงเครื่องให้กลุ่มอาชญากรไซเบอร์
GTIG ประเมินด้วยความมั่นใจสูงว่า Videostrong ผู้ผลิตอุปกรณ์ Android แบบ OEM และ ODM เป็นผู้พัฒนา ติดตั้ง และควบคุม Backdoor และ Botnet นี้เองเพื่อหวังผลทางการเงิน ไม่ใช่ฝีมือคนในเพียงคนเดียวหรือความผิดพลาดในการพัฒนา เพราะพบ Malware ติดตั้งมาในอุปกรณ์หลายรุ่นหลายแบรนด์ต่อเนื่องหลายปี พร้อมโครงสร้างพื้นฐานเฉพาะและ Configuration ที่ปรับเปลี่ยนตลอดเพื่อหลบการตรวจจับ Videostrong หารายได้ด้วยการขายสิทธิ์เข้าถึงให้กลุ่ม Affiliate แล้วโหลด Module ของกลุ่มเหล่านั้นลงเครื่อง ทั้งการทำ Ad Fraud การแอบนำอุปกรณ์เข้าเครือข่าย Residential Proxy และการติดตั้ง Malware เพิ่มเติม
Google ใช้มาตรการทางกฎหมายปิดโดเมนและเซิร์ฟเวอร์ที่ใช้ควบคุม Botnet รวมถึงโดเมน Command and Control (C2) ของ Malware กว่า 12 ตระกูลที่ถูกโหลดผ่าน Backdoor นี้ และเนื่องจาก Affiliate เหล่านี้มีช่องทางแพร่กระจายอื่นนอกจาก XCPE ด้วย การปิด C2 ครั้งนี้จึงคาดว่าจะตัดการเข้าถึงอุปกรณ์ที่ถูกเจาะได้อีกอย่างน้อย 10 ล้านเครื่อง ปฏิบัติการนี้ทำร่วมกับ National Police Agency ของญี่ปุ่น, Lumen, HUMAN Security, Plume, Synthient และ TrendAI
Malware ของ Videostrong พัฒนาจาก Dropper ธรรมดามาเป็นสถาปัตยกรรมแบบ Modular 3 ชั้นตั้งแต่ปลายปี 2024 ตัวหลักคือ Backdoor ชื่อ x.cpe (บาง Build ใช้ชื่อ com.oemservice) ที่ติดตั้งมาใน Firmware และทำงานด้วยสิทธิ์ระดับ android.uid.system และเนื่องจากเป็นแอปที่ติดตั้งมากับระบบ ผู้ใช้งานจึงลบออกไม่ได้ และหากถูกถอนการติดตั้ง ระบบจะติดตั้งกลับจาก Partition /oem/ หลัง Reboot Backdoor จะดึง Configuration จาก C2 ผ่าน HTTP ก่อน แล้วเชื่อมต่อแบบถาวรผ่านโปรโตคอล MQTT เพื่อรับคำสั่ง เช่น ติดตั้งแอปแบบเงียบ ปิด Google Play Protect รัน Shell Command ด้วยสิทธิ์ระดับ System จับภาพหน้าจอ และสำรวจเครือข่าย ข้อมูลจาก C2 ยังพบว่าผู้ควบคุมเคยจับภาพหน้าจอแบบ Live โดยทำ Keystroke ขโมยข้อมูลบัญชี ข้อมูลอุปกรณ์และ System Log ไปจนถึงเปิด Reverse Shell บนอุปกรณ์ของเหยื่อ ในช่วงปลายปี 2024 ซึ่งอาจเป็นการตอบสนองต่อมาตรการของ Google ต่อ BadBox ก่อนหน้านี้ Videostrong แยกงานรัน Module ออกไปไว้ที่ Loader ชื่อ com.abc.nexus ซึ่งมีเครื่องมือ Anti-analysis สำหรับหลบ Sandbox และตั้งแต่เดือนสิงหาคม 2026 ก็เริ่มเปลี่ยนไปใช้ Dropper ที่ปลอมตัวเป็นแอประบบ เช่น com.android.system.ntp ซึ่งยกระดับสิทธิ์เป็น root ผ่าน adbd แล้วติดตั้งตัวเองลงใน /system/priv-app/
Module ที่ถูกโหลดลงเครื่องส่วนใหญ่เป็น Module ด้าน Residential Proxy และ Bandwidth Sharing เช่น Linkfog, AppSalt ของ Honeygain, GaGaNode, Traffmonetizer, EarnFM, IPWeb และ Popanet ของ NetNut ซึ่งเปลี่ยนอุปกรณ์ให้เป็น Exit Node สำหรับส่ง Traffic ของบุคคลอื่น บางเครื่องพบ Residential Proxy SDK ติดตั้งอยู่พร้อมกันถึง 3 ตัว ตัวอย่างเช่น AppSalt SDK จะตั้งค่าความยินยอมของผู้ใช้งานเองโดยไม่แสดงหน้าขอความยินยอมใดๆ ส่วน C2 ทั้งหมดของ Popanet ถูกปิดไปแล้วตั้งแต่การทลายเครือข่าย NetNut ครั้งก่อนของ Google นอกจากนี้ยังมี Module ด้าน Ad Fraud อย่าง Fission และ HiddenView ที่สร้างยอด Ad View ปลอมอยู่เบื้องหลัง รวมถึง Backdoor อย่าง Moyu และ Bird ที่เคยพบในเครือข่าย BadBox และ Spirit ที่โหลด Module เพิ่มได้อีก อุปกรณ์ที่ติดเชื้อกระจายอยู่ทั่วโลก แม้ส่วนใหญ่จะเป็น Android TV Set-top Box แต่ก็พบอุปกรณ์ IoT บน Android ประเภทอื่นด้วย ทั้งอุปกรณ์ Telehealth เครื่องคาราโอเกะ และ Digital Signage
Google ตัดความสัมพันธ์กับ Videostrong และห้ามบริษัทรวมถึงบริษัทลูกหรือบริษัทในเครือในอนาคตผลิตและจำหน่ายอุปกรณ์ Android ที่ผ่านการรับรอง หรือส่ง Software ให้ผู้ผลิตรายอื่นที่ได้รับการรับรอง เนื่องจาก Videostrong ใช้เทคนิค Obfuscation เพื่ออาศัยช่องว่างในชุดทดสอบด้าน Compatibility และความปลอดภัยของ Google ด้วยการโหลดโค้ดอันตรายหลังการ Boot ครั้งแรก Google จึงปรับกระบวนการตรวจสอบและการยืนยันความถูกต้องของ Firmware บนอุปกรณ์ Android TV ที่ผ่านการรับรองด้วย สำหรับผู้ใช้งาน Google แนะนำให้ซื้ออุปกรณ์อย่าง Set-top Box จากผู้ผลิตที่น่าเชื่อถือ ซึ่งตรวจสอบได้จากรายชื่อพันธมิตร Android TV ระวังแอปที่เสนอจ่ายเงินแลกกับการแชร์ Bandwidth ที่ไม่ได้ใช้ ตรวจสอบสิทธิ์ของ VPN และ Proxy จาก 3rd-party และเปิด Google Play Protect ไว้เสมอ GTIG ยังเผยแพร่ Indicators of Compromise (IoC) ทั้ง Hash, โดเมน และ IP Address ของ Malware ที่เกี่ยวข้องไว้ในรายงานด้วย
ที่มา: https://cloud.google.com/blog/topics/threat-intelligence/shutting-the-door-on-the-xcpe-botnet
