Hàng triệu hộp Android TV đã ngắt kết nối với tin tặc, nhưng rủi ro vẫn còn

Khoảng năm triệu thiết bị, chủ yếu là hộp Android TV, chạy phần mềm độc hại đã được ngắt kết nối với tin tặc. Tuy nhiên, các thiết bị này vẫn nguy hiểm và chủ sở hữu nên thay thế chúng.

Shadowserver Foundation, một nền tảng bảo mật Internet do chính phủ Anh tài trợ, theo dõi khoảng năm triệu địa chỉ IP "bị khóa" mỗi ngày. Chỉ vài tuần trước, con số này chỉ khoảng 2,5 triệu và đã tăng gấp đôi kể từ đầu tháng 3 này.

Năm triệu thiết bị bị theo dõi có lỗ hổng không thực sự quá nguy hiểm, vì chúng không thể tiếp cận tin tặc nữa. Tuy nhiên, không ai có thể chắc chắn.

Các chuyên gia nghiên cứu lưu ý rằng, phần lớn các thiết bị bị nhiễm là hộp Android TV, chúng không phải của thương hiệu và các thiết bị giá rẻ tương tự khác được bảo vệ bằng các giải pháp như Google Play Protect (giải pháp bảo vệ các ứng dụng được cài đặt từ các nguồn bên ngoài cửa hàng ứng dụng Google Play).

Trong trường hợp này, việc xóa các ứng dụng hoặc gói đáng ngờ sẽ không đủ để đảm bảo thiết bị hoạt động an toàn. Cần phải flash lại chương trình cơ sở của chúng bằng chương trình an toàn hoặc nếu không thể, thì nên tái chế các thiết bị.

Việc flash lại phiên bản chương trình cơ sở không bị xâm phạm có thể rất phức tạp đối với người dùng cuối trung bình, đặc biệt là trên các thiết bị không phải của thương hiệu không được hỗ trợ.

Tất cả các thiết bị bị nhiễm sẽ chạy các chu kỳ Bộ xử lý trung tâm (CPU) không cần thiết, điều này có thể gây ra độ trễ.

Theo các chuyên gia, các nhà cung cấp dịch vụ di động ở nhiều nước có thể liên hệ với khách hàng nếu phát hiện lưu lượng truy cập độc hại đến từ kết nối internet của người dùng và thậm chí có thể đe dọa cắt dịch vụ cho đến khi người dùng xóa mối đe dọa.

Những quốc gia nào có nhiều thiết bị bị nhiễm nhất?

Theo dữ liệu của Shadowserver, Brazil dẫn đầu với hơn 800.000 thiết bị không thể truy cập máy chủ C2. Ấn Độ đứng thứ hai với 742.000 thiết bị, tiếp theo là Nam Phi (244.000), Indonesia (230.000), Argentina (108.000) và Pakistan (105.000). Tại Hoa Kỳ, 82.000 thiết bị chạy phần mềm độc hại với kết nối bị cắt đứt đến máy chủ C2 của nó. Tại Châu Âu, 32.000 IP đã được đăng ký tại Pháp, 20.000 IP tại Tây Ban Nha, 18.000 IP tại Đức, 13.000 IP tại Anh và hàng nghìn IP khác tại các quốc gia khác.

Các nhà nghiên cứu bảo mật đã theo dõi botnet Vo1d kể từ tháng 9 năm ngoái. Một cuộc điều tra của công ty Xlab đã tiết lộ rằng, botnet (là một mạng lưới các thiết bị máy tính bị nhiễm phần mềm độc hại và được điều khiển bởi hacker từ xa) được cập nhật đã lây nhiễm hơn 1,6 triệu thiết bị Android TV trên 226 quốc gia, lớn hơn gấp 100 lần so với cuộc tấn công từ chối dịch vụ (DDoS) phá kỷ lục được Cloudflare báo cáo. Phiên bản đầu tiên của botnet Vo1d đã được công ty bảo mật Dr. Web của Nga phát hiện vào năm ngoái trên hơn 1,3 triệu thiết bị.

Phiên bản phần mềm độc hại sau này tăng cường đáng kể khả năng ẩn, khả năng phục hồi và chống phát hiện, bao gồm mã hóa, máy chủ chuyển hướng và các khả năng khác.

Các chuyên gia lưu ý, các phiên bản phần mềm độc hại đều lợi dụng các mạng quảng cáo để kiếm doanh thu quảng cáo thông qua các cú nhấp chuột giả, do đó có thể chúng có liên quan, nhưng cũng có thể là các botnet cạnh tranh.

Những người đứng đầu botnet cũng đang cho các nhóm tội phạm mạng thuê quyền truy cập vào cơ sở hạ tầng khổng lồ, sau đó thực hiện DDoS hoặc các cuộc tấn công mạng khác.

Các hộp giải mã TV mới đến từ các nhà sản xuất Trung Quốc có thể sẽ được cập nhật phần mềm độc hại và máy chủ C2.

Các nhà nghiên cứu của Xlab phát hiện ra rằng một số botnet quy mô hàng triệu nhắm mục tiêu vào Android TV chia sẻ các thuật toán giải mã chuỗi và sự trùng lặp này “không phải chỉ là sự trùng hợp ngẫu nhiên”.

Các nhà nghiên cứu cũng cảnh báo rằng người dùng có quan niệm sai lầm về tính bảo mật của hộp giải mã TV, coi chúng an toàn hơn điện thoại thông minh. Điều này không đúng.

Thực trạng vi phạm bản quyền tràn lan bằng cách tải xuống các ứng dụng bị bẻ khóa, phần mềm của bên thứ ba hoặc cài đặt phần mềm cơ sở không chính thức "làm tăng đáng kể nguy cơ lây nhiễm thiết bị, tạo điều kiện thuận lợi cho phần mềm độc hại phát tán".