数以千计的 Android 设备预装了不可杀死的后门

不知何故，高级 Triada 恶意软件在到达经销商之前就被添加到设备中。

当您购买电视流媒体盒时，有些事情是您意想不到的。它不应该被秘密地植入恶意软件或在启动时开始与中国的服务器通信。它绝对不应该充当通过欺诈赚取数百万美元的有组织犯罪计划的节点。然而，对于成千上万拥有廉价 Android TV 设备的不知情的人来说，这就是现实。

一月份，安全研究人员Daniel Milisic 发现一款名为 T95 的廉价 Android TV 流媒体盒一开箱就感染了恶意软件，其他多名研究人员也证实了 这一发现。但这只是冰山一角。本周，网络安全公司Human Security 披露了有关受感染设备的范围以及与流媒体盒子相关的隐藏的、互连的欺诈计划网络的新细节。

根据《连线》独家分享的一份报告，人类安全研究人员发现了 7 个 Android 电视盒和一台平板电脑安装了后门，并且他们发现了 200 种不同型号的 Android 设备可能受到影响的迹象。这些设备遍布美国各地的家庭、企业和学校。与此同时，人类安全部门表示，它还打击了与该计划相关的广告欺诈行为，这可能有助于支付该行动的费用。

“它们就像一把在互联网上做坏事的瑞士军刀，”领导该公司 Satori 威胁情报和研究团队的 Human Security 首席信息安全官 Gavin Reid 说道。“这是一种真正的分布式欺诈方式。” 里德表示，该公司已与执法机构分享了可能制造这些设备的设施的详细信息。

Human Security 的研究分为两个领域：Badbox，涉及受感染的 Android 设备及其参与欺诈和网络犯罪的方式。第二个被称为 Peachpit 的广告欺诈行为涉及至少 39 个 Android 和 iOS 应用程序。谷歌表示，在人类安全部门进行研究后，它已经删除了这些应用程序，而苹果公司则表示，它发现了向其报告的几个应用程序中存在问题。

首先，坏盒。廉价的 Android 流媒体盒通常售价不到 50 美元，在网上和实体店有售。这些机顶盒通常没有品牌或以不同的名称出售，部分掩盖了它们的来源。Human Security 在其报告中表示，2022 年下半年，其研究人员发现了一款​​ Android 应用程序，该应用程序似乎与不真实的流量相关联，并连接到了 Flyermobi.com 域。当 Milisic一月份发布有关 T95 Android 盒子的初步发现时，该研究还指向了 Flyermobi 域。Human 团队购买了这个盒子和其他多个盒子，并开始投入使用。

研究人员总共确认了 8 台设备安装了后门，其中包括 7 台电视盒、T95、T95Z、T95MAX、X88、Q9、X12PLUS 和 MXQ Pro 5G，以及平板电脑 J5-W。（最近几个月研究该问题的其他安全研究人员 也发现了其中一些）。该公司的报告以数据科学家 Marion Habiby 为主要作者，报告称 Human Security 在全球范围内发现至少 74,000 台 Android 设备显示出 Badbox 感染的迹象，其中一些在美国各地的学校中。

 

https://arstechnica.com/security/2023/10/thousands-of-android-devices-come-with-unkillable-backdoor-preinstalled/

https://www.humansecurity.com/hubfs/HUMAN_Report_BADBOX-and-PEACHPIT.pdf