Android.Vo1d بدافزار

تقریباً 1.3 میلیون تی وی باکس مبتنی بر اندروید که بر روی نسخه‌های سیستم قدیمی کار می‌کنند و در 197 کشور استفاده می‌شوند، توسط بدافزار تازه کشف‌شده‌ای به نام Vo1d (همچنین به عنوان Void شناخته می‌شود) در معرض خطر قرار گرفته‌اند. این بدافزار backdoor اجزای خود را در فضای ذخیره سازی سیستم جاسازی می کند و می تواند به صورت مخفیانه برنامه های شخص ثالث را با دریافت دستورات مهاجمان دانلود و نصب کند.

بیشترین موارد عفونت در برزیل، مراکش، پاکستان، عربستان سعودی، آرژانتین، روسیه، تونس، اکوادور، مالزی، الجزایر و اندونزی شناسایی شده است.

چندین دستگاه مورد هدف حمله Vo1d

منبع دقیق عفونت هنوز مشخص نیست. با این حال، گمان می رود که از مصالحه قبلی ناشی شود که به مهاجمان اجازه می داد امتیازات ریشه را به دست آورند یا از نسخه های سیستم عامل غیر رسمی با دسترسی ریشه داخلی استفاده کنند.

مدل های تلویزیون زیر در این کمپین هدف قرار گرفته اند:

• KJ-SMART4KVIP (Android 10.1؛ KJ-SMART4KVIP Build/NHG47K)
• R4 (Android 7.1.2؛ R4 Build/NHG47K)
• TV BOX (Android 12.1؛ TV BOX Build/NHG47K)

این حمله شامل جایگزینی فایل شبح '/system/bin/debuggerd' (فایل اصلی به عنوان یک نسخه پشتیبان به 'debuggerd_real' تغییر نام داده شده است) و افزودن دو فایل جدید: '/system/xbin/vo1d' و '/system/xbin/ wd.' این فایل ها حاوی کدهای جعلی هستند و همزمان اجرا می شوند.

گوگل خاطرنشان کرد که مدل‌های تلویزیون تحت تأثیر دستگاه‌های Android دارای گواهی Play Protect نیستند و احتمالاً از کد منبع مخزن پروژه منبع باز Android (AOSP) استفاده می‌کنند.

مجرمان سایبری فایل های اندروید را برای ارائه بدافزار اصلاح کردند

همانطور که در مستندات اندروید گوگل ذکر شده است، قبل از اندروید 8.0، خرابی ها توسط دیمون های دیباگرد و دیباگرد64 مدیریت می شد. با شروع Android 8.0، «crash_dump32» و «crash_dump64» در صورت تقاضا ایجاد می‌شوند.

به عنوان بخشی از کمپین بدافزار، دو فایل که معمولاً بخشی از سیستم عامل اندروید هستند – install-recovery.sh و daemonsu – برای اجرای بدافزار با راه‌اندازی ماژول «wd» تغییر یافتند.

محققان امنیت سایبری پیشنهاد می‌کنند که نویسندگان بدافزار احتمالاً تلاش کرده‌اند یکی از اجزای آن را با نامگذاری «vo1d» به عنوان برنامه سیستمی «/system/bin/vold» پنهان کنند، و به جای «l» کوچک با عدد «1» برنامه‌ای مشابه ایجاد کنند. ظاهر

بار "vo1d" ماژول "wd" را راه‌اندازی می‌کند و مطمئن می‌شود که فعال باقی می‌ماند و همچنین فایل‌های اجرایی را با دریافت دستورات از یک سرور فرمان و کنترل (C2) دانلود و اجرا می‌کند. علاوه بر این، دایرکتوری های خاصی را نظارت می کند و هر فایل APK را که پیدا می کند نصب می کند.

متأسفانه، برای سازندگان دستگاه‌های مقرون‌به‌صرفه استفاده از نسخه‌های قدیمی سیستم‌عامل و عرضه آن‌ها به‌عنوان جدیدتر برای جذاب‌تر جلوه دادن محصولاتشان غیرعادی نیست.