Gần 1,3 triệu Android TV Box bị lây nhiễm malware mới

Android TV Box không có thương hiệu dễ bị nhiễm malware

Theo nhóm này, gần 1,3 triệu Android TV Box chạy các phiên bản hệ điều hành lỗi thời và thuộc sở hữu của người dùng ở 197 quốc gia đã bị lây nhiễm bởi một loại malware mới có tên Vo1d (còn gọi là Void).

Phần lớn các trường hợp lây nhiễm đã được phát hiện ở : Brazil, Morocco, Pakistan, Saudi Arabia, Argentina, Nga, Tunisia, Ecuador, Malaysia, Algeria và Indonesia.

Hiện chưa rõ nguồn gốc chính xác của sự lây nhiễm. Tuy nhiên, có thể liên quan đến việc đã bị xâm nhập trước đó cho phép lấy quyền root hoặc sử dụng các phiên bản firmware không chính thức có quyền root tích hợp sẵn.

Các mẫu TV bị tấn công gồm: KJ-SMART4KVIP (Android 10.1; KJ-SMART4KVIP Build/NHG47K); R4 (Android 7.1.2; R4 Build/NHG47K); TV BOX (Android 12.1; TV BOX Build/NHG47K).

Phương thức tấn công được thực hiện là thay thế tệp: Malware thay thế tệp daemon "/system/bin/debuggerd" (tệp gốc được di chuyển vào tệp sao lưu có tên "debuggerd_real") và giới thiệu hai tệp mới – "/system/xbin/vo1d" và "/system/xbin/wd" – chứa mã độc và hoạt động đồng thời.

Hoạt động của malware: Payload "vo1d" khởi động "wd", đảm bảo nó hoạt động liên tục, tải xuống và chạy các tập tin thực thi khi được chỉ định bởi máy chủ chỉ huy và kiểm soát (C2). Nó cũng theo dõi các thư mục chỉ định và cài đặt các tệp APK tìm thấy trong đó.

Google có ra thông báo cho biết các thiết bị không có thương hiệu bị lây nhiễm, không phải là thiết bị Android được chứng nhận Play Protect. Những thiết bị không được chứng nhận Play Protect sẽ có nguy cơ cao bị nhiễm mã độc.

Ngược lại, các thiết bị Android được chứng nhận Play Protect trải qua quy trình kiểm tra nghiêm ngặt, sẽ được đảm bảo chất lượng và an toàn cho người dùng.

Để kiểm tra liệu thiết bị của gia đình có được xây dựng với Android TV OS và được chứng nhận Play Protect hay không, hãy truy cập vào trang web Android TV của Google để xem danh sách đối tác tin cậy được cập nhật thường xuyên và mới nhất.

H.L