ФБР: малварь Badbox 2.0 заразила более миллиона устройств

Рекомендуем почитать:

Хакер #313. Вызов для Windows

• Содержание выпуска
• Подписка на «Хакер»-60%

Представители ФБР сообщили, что Android-ботнет BadBox 2.0 уже заразил более 1 млн устройств по всему миру. Под атаками находятся ТВ-приставки, планшеты, умные телевизоры, смартфоны и так далее, которые малварь превращает в резидентные прокси.

«Ботнет BadBox 2.0 состоит из миллионов зараженных устройств и содержит многочисленные бэкдоры к прокси, которыми пользуются киберпреступники, продавая или предоставляя бесплатный доступ к скомпрометированным домашним сетям, чтобы использовать их для совершения различных преступных действий», — предупреждает ФБР.

Напомним, что BadBox представляет собой малварь для Android, основанную на коде вредоносного семейства Triada. Зачастую вредонос может предустанавливаться на бюджетные устройства прямо «из коробки», а также заражать их через обновления, вредоносные приложения, которые порой проникают в Google Play и сторонние магазины.

Малварь используется для кражи данных, установки дополнительного вредоносного ПО, а также позволяет злоумышленникам получить удаленный доступ к сети, в которой находится зараженный гаджет.

«Киберпреступники получают несанкционированный доступ к домашним сетям, либо оснащая устройства вредоносным ПО еще до их покупки пользователем, либо заражая их при загрузке необходимых приложений, содержащих бэкдоры, что обычно происходит в процессе настройки, — поясняют в ФБР. — После подключения скомпрометированных IoT-устройств к домашним сетям, они становятся частью ботнета BadBox 2.0 и резидентными прокси, которые обычно используются для вредоносной активности».

Как ранее уже предупреждали ИБ-эксперты, BadBox способен воровать коды двухфакторной аутентификации, устанавливать другие вредоносные программы, а также создавать новые email-аккаунты и учетные записи в мессенджерах для распространения фейковых новостей. Кроме того, операторов BadBox связывают с рекламным мошенничеством, и зараженные гаджеты используются в качестве резидентных прокси. Также известны случаи, когда злоумышленники использовали IP-адреса жертв, чтобы получать доступ к чужим аккаунтам, используя ворованные учетные данные.

Напомним, что впервые BadBox был обнаружен еще в 2023 году независимым ИБ-исследователем Даниэлем Милишичем (Daniel Milisic), который заметил, на Amazon продаются Android-приставки T95, прямо «из коробки» зараженные сложной малварью.

В конце 2024 года немецкие правоохранители попытались вывести из строя часть ботнета BadBox. Но вскоре исследователи из компании BitSight сообщили, что эта операция не сильно повлияла на его работу. Уже в конце декабря ботнет снова насчитывал более 192 000 зараженных устройств по всему миру.

Весной текущего года новую операцию по борьбе с ботнетом возглавили специалисты Human Security, в сотрудничестве с Google, Trend Micro, The Shadowserver Foundation и другими экспертами. Так как ботнет снова резко увеличился почти до миллиона зараженных IoT-девайсов, исследователи присвоили ему имя BadBox 2.0.

«Эта кампания затронула более 1 млн потребительских устройств. Среди устройств, вошедших в ботнет BadBox 2.0 были бюджетные, небрендированные и несертифицированные планшеты, ТВ-приставки, цифровые проекторы и так далее, — писали специалисты в Human Security. — Зараженные устройства представляют собой решения на базе Android Open Source Project, а не устройства на базе Android TV ОС или сертифицированные Play Protect. Все они производятся в материковом Китае и поставляются по всему миру».

По оценкам исследователей, большинство пострадавших гаджетов находятся в Бразилии (37,6%), США (18,2%), Мексике (6,3%) и Аргентине (5,3%).

В марте 2025 года операция позволила осуществить sinkhole ряда доменов ботнета, что нарушило связь с управляющими серверами для 500 000 зараженных устройств.

Однако, по данным ФБР, ботнет снова растет, поскольку потребители приобретают все новые скомпрометированные продукты и подключают их к интернету.

Ниже можно увидеть список, составленный аналитиками Human Security, в который вошли устройства, пострадавшие от заражения BadBox или являющиеся целью для связанных с ним хак-групп.