Τι είναι το BadBox 2.0 και γιατί το FBI προειδοποιεί τους χρήστες Android

To Forbes δημοσίευσε την προειδοποίηση του FBI σε χρήστες συσκευών Android IoT να αποσυνδέσουν τις συσκευές τους, μετά την επίθεση που δέχθηκαν 10.000.000 έξυπνες τηλεοράσεις, streaming boxes, tablet και συστήματα ψυχαγωγίας οχημάτων, σε 222 χώρες και περιοχές του πλανήτη.

Οι επιτήδειοι χτύπησαν από τις ΗΠΑ (οι συσκευές χρησιμοποιούνταν και σε σχολεία), το Μεξικό και την Αργεντινή έως την Ευρώπη – Γερμανία, Ιρλανδία και Ρωσία, Ουκρανία, μεταξύ άλλων.

Ο πρωταγωνιστής της ιστορίας είναι το BadBox 2.0 που εκμεταλλεύεται τα κενά ασφαλείας σε φθηνές μη πιστοποιημένες συσκευές Android Open Source Project (AOSP) που κατασκευάζονται ως επί το πλείστον, στην ηπειρωτική Κίνα. Είναι εξελιγμένη έκδοση του αρχικού κακόβουλου λογισμικού BadBox που είχε εντοπιστεί για πρώτη φορά το 2023.

Συνηθέστερα, το BadBox 2.0 είναι προεγκατεστημένο στο firmware της συσκευής, πριν φτάσει στον καταναλωτή, μέσω επίθεσης στην εφοδιαστική αλυσίδα ή από τον ίδιο τον κατασκευαστή. Το firmware είναι το βασικό λογισμικό που ελέγχει τη λειτουργία της όποιας συσκευής.

Το κακόβουλο λογισμικό παραμένει αδρανές -ή λειτουργεί στο παρασκήνιο- κι έτσι δεν το ‘πιάνουν’ τα antivirus ή οι χρήστες που μπορεί να μολύνουν και οι ίδιοι τις συσκευές, κατεβάζοντας εφαρμογές από μη επίσημες πηγές που δίνουν “οδηγίες” στην συσκευή να εκτελέσει συγκεκριμένες ενέργειες.

Για την ιστορία, τον περασμένο Μάρτιο αφαιρέθηκαν 24 εφαρμογές από το Google Play Store, ως κακόβουλες.

Άπαξ και ενεργοποιηθεί δημιουργεί αντίγραφα σε διάφορα σημεία του συστήματος κι έτσι η αφαίρεση του γίνεται σχεδόν αδύνατο με ένα απλό reset. Εν τω μεταξύ, χρησιμοποιεί κρυπτογραφημένες συνδέσεις για να αποφύγει την ανίχνευση από λογισμικά ασφαλείας. Εάν ένα μέρος του BadBox 2.0 απενεργοποιηθεί, σύστημα παρακολούθησης το επανεκκινεί.

Τι κάνει bad το BadBox 2.0

HumanSecurity

Το BadBox 2.0 έχει εκατομμύρια θύματα, καθώς η βαθιά ενσωμάτωση του κακόβουλου λογισμικού στο υλικολογισμικό της συσκευής, συχνά σε μη εγγράψιμα μέρη, καθιστά σχεδόν αδύνατη την αφαίρεσή του χωρίς την αντικατάσταση της συσκευής. Είναι παγκόσμια απειλή και χάριν της ικανότητάς του να αποφεύγει τον εντοπισμό.

Ο λόγος ύπαρξης αυτού του κακόβουλου λογισμικού είναι για να δημιουργεί ψευδή clicks σε διαφημίσεις -ώστε να βγάζουν χρήματα οι διαφημιστές- να δρομολογεί κακόβουλη κίνηση για απόκρυψη επιθέσεων που μπορεί να έχουν ως στόχο την κλοπή δεδομένων, να χρησιμοποιεί τα κλεμμένα διαπιστευτήρια, για να έχει πρόσβαση σε λογαριασμούς, να υποκλέπτει λογαριασμούς μέσω των κλεμμένων δεδομένων, αλλά και για να κλέβει ευαίσθητες πληροφορίες – πχ τραπεζικά στοιχεία ή εταιρικά δεδομένα.

Πώς θα μάθεις αν σου κάνει παρέα το BadBox 2.0

Οι αμερικανικές αρχές προέτρεψαν τους χρήστες να παρακολουθούν τις συσκευές τους για σημάδια παραβίασης, όπως η αργή απόδοση, η υπερθέρμανση και η ασυνήθιστη κίνηση δικτύου. Επίσης, εξήγησαν πως είναι πάντα χρήσιμο να αποφεύγονται τα ανεπίσημα “καταστήματα” εφαρμογών.

Δεν κινδυνεύουν όσοι έχουν επιλέξει συσκευές Android με πιστοποίηση Play Protect ή συσκευές που χρησιμοποιούν λειτουργικό σύστημα Android TV, που διαθέτουν ισχυρότερα μέτρα ασφαλείας.

Βοηθά να ενημερώνουμε το λογισμικό και τις εφαρμογές και να ελέγχουμε αν γίνεται ασυνήθιστη κίνηση δεδομένων από το router μας.

Αν δημιουργηθούν υποψίες επίθεσης, αποσυνδέουμε τη συσκευή και ζητάμε επαγγελματική βοήθεια, αφού οι επαναφορές εργοστασιακών ρυθμίσεων ενδέχεται να μην καταργήσουν το κακόβουλο λογισμικό που είναι ενσωματωμένο στο υλικολογισμικό.

Τι κάνουν όσοι παίζουν «άμυνα»

Πριν λίγες ημέρες, η Google υπέβαλε αγωγή στη Νέα Υόρκη εναντίον των κινεζικών φορέων εκμετάλλευσης του BadBox 2.0, στοχεύοντας την υποδομή τους και ζητώντας μόνιμη διαταγή για διακοπή των εργασιών. Ο κολοσσός ισχυρίζεται εμπλοκή πολλαπλών ομάδων κυβερνοεγκλήματος και συνεργάστηκε με την Ηuman Security, για να μπουν τα πράγματα σε μια τάξη.

Οι έρευνες που έχουν γίνει έχουν εντοπίσει τέσσερις ομάδες κυβερνοεγκλήματος που εμπλέκονται στη λειτουργία του botnet BadBox 2.0 και συγκεκριμένα τη SalesTracker Group (πιθανώς υπεύθυνη για το πρώτο botnet BadBox), τη MoYu Group (ανέπτυξε το backdoor), την Lemon Group (προηγουμένως συνδέθηκε με το κακόβουλο λογισμικό Guerrilla) και την LongTV (βλ. εμπορικό σήμα μιας εταιρείας διαδικτύου και μέσων ενημέρωσης της Μαλαισίας).

ΣΧΕΤΙΚΟ ΘΕΜΑ