תוכנת זדונית Android.Vo1d
כ-1.3 מיליון קופסאות טלוויזיה מבוססות אנדרואיד, הפועלות על גרסאות מערכת מיושנות ובשימוש ב-197 מדינות, נפגעו על ידי תוכנה זדונית שהתגלתה לאחרונה בשם Vo1d (הידועה גם בשם Void). תוכנה זדונית זו מדלת אחורית מטביעה את רכיביה באחסון המערכת ויכולה להוריד ולהתקין בסתר יישומי צד שלישי לאחר קבלת פקודות מתוקפים.
רוב הזיהומים זוהו בברזיל, מרוקו, פקיסטן, ערב הסעודית, ארגנטינה, רוסיה, תוניסיה, אקוודור, מלזיה, אלג'יריה ואינדונזיה.
התקנים מרובים ממוקדים על ידי מתקפת Vo1d
המקור המדויק של הזיהום עדיין לא ברור. ובכל זאת, על פי החשד זה נובע מפשרה קודמת שאפשרה לתוקפים לקבל הרשאות שורש או משימוש בגרסאות קושחה לא רשמיות עם גישת שורש מובנית.
דגמי הטלוויזיה הבאים ממוקדים בקמפיין זה:
- KJ-SMART4KVIP (Android 10.1; KJ-SMART4KVIP Build/NHG47K)
- R4 (Android 7.1.2; R4 Build/NHG47K)
- TV BOX (אנדרואיד 12.1; TV BOX Build/NHG47K)
ההתקפה כוללת החלפת קובץ הדמון '/system/bin/debuggerd' (שם הקובץ המקורי שונה ל-'debuggerd_real' כגיבוי) והוספת שני קבצים חדשים: '/system/xbin/vo1d' ו-'/system/xbin/ wd.' קבצים אלה מכילים את הקוד המזויף ופועלים במקביל.
גוגל ציינה כי דגמי הטלוויזיה המושפעים לא היו מכשירי אנדרואיד עם אישור Play Protect וכנראה השתמשו בקוד מקור ממאגר Android Open Source Project (AOSP).
פושעי הסייבר שינו קבצי אנדרואיד כדי לספק תוכנה זדונית
לפני אנדרואיד 8.0, קריסות נוהלו על ידי הדמונים debuggerd ו-debuggerd64, כפי שצוין בתיעוד אנדרואיד של גוגל. החל מאנדרואיד 8.0, 'crash_dump32' ו-'crash_dump64' נוצרים לפי דרישה.
כחלק ממסע הפרסום של תוכנות זדוניות, שני קבצים שהם בדרך כלל חלק ממערכת ההפעלה אנדרואיד - install-recovery.sh ו-daemonsu - שונו כדי להפעיל את התוכנה הזדונית על ידי השקת מודול 'wd'.
חוקרי אבטחת סייבר מציעים שמחברי התוכנות הזדוניות כנראה ניסו להסוות את אחד ממרכיביה כתוכנת המערכת '/system/bin/vold' על ידי מתן השם 'vo1d', והחלפת האותיות הקטנות 'l' במספר '1' כדי ליצור קובץ דומה הוֹפָעָה.
מטען ה-'vo1d' מפעיל את מודול ה-'wd' ומוודא שהוא נשאר פעיל, תוך הורדה והפעלה של קובצי הפעלה עם קבלת פקודות משרת פקודה ושליטה (C2). בנוסף, הוא עוקב אחר ספריות ספציפיות, ומתקין כל קבצי APK שהוא מוצא.
למרבה הצער, זה לא יוצא דופן שיצרני מכשירים תקציביים משתמשים בגרסאות מערכת הפעלה מיושנות ומשווקים אותן כעדכניות יותר כדי לגרום למוצרים שלהם להיראות מושכים יותר.
