دفتر فدرال امنیت اطلاعات آلمان (BSI) عملیات بدافزار BadBox را که به‌صورت از پیش نصب‌شده روی بیش از ۳۰,۰۰۰ دستگاه اندرویدی IoT فروخته‌شده در این کشور وجود داشت، مختل کرده است.
انواع دستگاه‌های تحت تأثیر شامل قاب‌های عکس دیجیتال، پخش‌کننده‌ها و دستگاه‌های استریم رسانه‌ای است و ممکن است گوشی‌های هوشمند و تبلت‌ها نیز تحت تأثیر قرار گرفته باشند.
BadBox نوعی بدافزار اندرویدی است که به‌صورت از پیش نصب‌شده در سیستم‌عامل (firmware) دستگاه‌های متصل به اینترنت قرار دارد و برای سرقت داده‌ها، نصب بدافزارهای اضافی، یا دسترسی از راه دور مهاجمان به شبکه‌ای که دستگاه در آن قرار دارد، استفاده می‌شود.
زمانی که یک دستگاه آلوده برای اولین بار به اینترنت متصل می‌شود، بدافزار تلاش می‌کند با یک سرور فرماندهی و کنترل از راه دور که توسط مهاجمان اداره می‌شود، ارتباط برقرار کند. این سرور از راه دور به بدافزار BadBox دستور می‌دهد که چه خدمات مخربی باید روی دستگاه اجرا شود و همچنین داده‌های سرقت‌شده از شبکه را دریافت می‌کند.
BSI (دفتر فدرال امنیت اطلاعات آلمان) می‌گوید این بدافزار می‌تواند کدهای احراز هویت دو مرحله‌ای را سرقت کند، بدافزارهای بیشتری نصب کند، و حساب‌هایی در پلتفرم‌های ایمیل و پیام‌رسانی ایجاد کند تا اخبار جعلی منتشر کند. همچنین می‌تواند با بارگذاری و کلیک کردن روی تبلیغات در پس‌زمینه، در کلاهبرداری تبلیغاتی شرکت کند و درآمدی برای شبکه‌های کلاهبرداری ایجاد کند.
در نهایت، بدافزار BadBox می‌تواند به‌گونه‌ای تنظیم شود که به‌عنوان یک پراکسی عمل کند و به دیگران اجازه دهد از پهنای باند اینترنت و سخت‌افزار دستگاه برای مسیریابی ترافیک خود استفاده کنند. این روش که به عنوان پراکسی مسکونی شناخته می‌شود، معمولاً در فعالیت‌های غیرقانونی به کار می‌رود و ممکن است آدرس IP کاربر را در این عملیات دخیل کند.
آژانس امنیت سایبری آلمان اعلام کرده است که ارتباط بین دستگاه‌های آلوده به بدافزار BadBox و زیرساخت فرماندهی و کنترل (C2) آن را با استفاده از “sinkholing” متوقف کرده است. در این روش، درخواست‌های DNS به گونه‌ای مسیریابی می‌شوند که بدافزار به جای سرورهای فرماندهی و کنترل مهاجم، با سرورهایی که توسط پلیس کنترل می‌شوند ارتباط برقرار کند.
تکنیک Sinkholing از ارسال داده‌های سرقت‌شده توسط بدافزار به مهاجمان و همچنین دریافت دستورات جدید برای اجرا روی دستگاه آلوده جلوگیری می‌کند و در عمل باعث می‌شود بدافزار از کار بیفتد.
در بیانیه BSI آمده است که : در حال حاضر BSI ارتباط دستگاه‌های آلوده را به سرورهای کنترل مهاجمان هدایت می‌کند، که این اقدام به عنوان بخشی از یک تدبیر sinkholing طبق بند ۷c قانون BSI (BSIG) انجام شده است.
این موضوع بر تأمین‌کنندگان خدماتی که بیش از ۱۰۰,۰۰۰ مشتری دارند تأثیر می‌گذارد (اطلاعات بیشتر در مورد sinkholing). تا زمانی که BSI اقدام sinkholing را حفظ کند، برای این دستگاه‌ها خطر فوری وجود ندارد.
به مالکان دستگاه‌های آلوده اطلاع داده خواهد شد.
مالکان دستگاه‌هایی که تحت تأثیر این عملیات sinkholing قرار گرفته‌اند، بر اساس آدرس IP خود توسط ارائه‌دهندگان خدمات اینترنتی‌شان اطلاع‌رسانی خواهند شد.
آژانس اعلام کرده است که هر کسی که اطلاعیه‌ای دریافت کند باید فوراً دستگاه را از شبکه خود جدا کرده یا استفاده از آن را متوقف کند. متأسفانه، از آنجا که بدافزار به‌طور پیش‌فرض همراه با فریم‌ور دستگاه نصب شده است، فریم‌ور دیگری که از سوی سازنده دستگاه ارائه می‌شود، نباید مورد اعتماد قرار گیرد و دستگاه باید برگردانده یا دور انداخته شود.
BSI اشاره می‌کند که تمام دستگاه‌های تحت تأثیر از نسخه‌های قدیمی اندروید و فریم‌ورهای قدیمی استفاده می‌کردند، بنابراین حتی اگر آن‌ها در برابر بدافزار BadBox محافظت شوند، همچنان تا زمانی که به صورت آنلاین در معرض خطر باشند، در برابر سایر بدافزارهای ربات‌نت آسیب‌پذیر خواهند بود.
بدافزار روی محصولات متصل به اینترنت متأسفانه پدیده‌ای نادر نیست. به‌ویژه نسخه‌های قدیمی فریم‌ور تهدید بزرگی محسوب می‌شوند,” هشدار داده است رئیس BSI، کلاودیا پلاتنر. “ما همه در اینجا مسئولیت داریم: تولیدکنندگان و خرده‌فروشان مسئولیت دارند که اطمینان حاصل کنند چنین دستگاه‌هایی وارد بازار نشوند. اما مصرف‌کنندگان نیز می‌توانند کاری انجام دهند: امنیت سایبری باید یک معیار مهم در زمان خرید باشد!
علاوه بر این، در اعلامیه ذکر شده است که به دلیل تنوع گسترده در تولیدکنندگان دستگاه‌های IoT اندرویدی و نسخه‌های مختلف دستگاه‌ها، بسیار محتمل است که دستگاه‌های آلوده به بدافزار BadBox یا بدافزارهای مشابه دیگری در کشور وجود داشته باشند که BSI نتواسته است این بار آن‌ها را شناسایی کند.
این ممکن است شامل گوشی‌های هوشمند و تبلت‌ها، بلندگوهای هوشمند، دوربین‌های امنیتی، تلویزیون‌های هوشمند، جعبه‌های استریم، و انواع لوازم خانگی متصل به اینترنت باشد که از مسیری مبهم از تولید تا شبکه‌های فروش مجدد عبور می‌کنند.
نشانه‌هایی که نشان می‌دهد دستگاه شما به بدافزار ربات‌نت آلوده شده است شامل داغ شدن دستگاه هنگام بی‌کار به نظر رسیدن، کاهش تصادفی عملکرد، تغییرات غیرمنتظره در تنظیمات، فعالیت‌های غیرمعمول، و اتصال به سرورهای خارجی ناشناخته است.
برای کاهش خطر دستگاه‌های IoT اندرویدی قدیمی، یک تصویر فریم‌ور از یک فروشنده قابل اعتماد نصب کنید، ویژگی‌های اتصال غیرضروری را خاموش کنید و دستگاه را از شبکه‌های حیاتی جدا نگه دارید.
به طور کلی، توصیه می‌شود که دستگاه‌های هوشمند را فقط از تولیدکنندگان معتبر خریداری کنید و به دنبال محصولاتی بگردید که پشتیبانی امنیتی بلندمدت ارائه می‌دهند.
