Le Brésil, l’Afrique du Sud, l’Indonésie, l’Argentine et la Thaïlande sont devenus la cible d’une campagne qui a infecté des appareils TV Android avec un malware botnet doublé VO1D.
Il a été constaté que la variante améliorée de VO1D comprend 800 000 adresses IP actives quotidiennes, le botnet faisant évoluer un pic de 1 590 299 le 19 janvier 2025, couvrant 226 pays. Au 25 février 2025, l’Inde a connu une augmentation notable du taux d’infection, passant de moins de 1% (3 901) à 18,17% (217 771).
“VO1D a évolué pour améliorer ses capacités de furtivité, de résilience et de anti-détection”, Qianxin XLAB dit. “Le cryptage RSA sécurise la communication du réseau, empêchant [command-and-control] prise de contrôle même si [the Domain Generation Algorithm] Les domaines sont enregistrés par des chercheurs. Chaque charge utile utilise un téléchargeur unique, avec un cryptage XXTE et des clés protégées par RSA, ce qui rend l’analyse plus difficile. “
Le malware a été documenté pour la première fois par Doctor Web en septembre 2024 comme affectant les boîtes de télévision basées sur Android au moyen d’une porte dérobée capable de télécharger des exécutables supplémentaires en fonction des instructions émises par le serveur de commande et de contrôle (C2).
On ne sait pas exactement comment les compromis ont lieu, bien qu’il soit soupçonné d’impliquer une sorte d’attaque en chaîne d’approvisionnement ou l’utilisation de versions non officielles du firmware avec un accès racine intégré.
Google a déclaré à The Hacker News à l’époque que les modèles de télévision “hors marque” infectés n’étaient pas des appareils Android certifiés de protection et qu’ils ont probablement utilisé le code source du référentiel de code Open Source (AOSP).
La dernière itération de la campagne de logiciels malveillants montre qu’elle fonctionne à grande échelle dans le but de faciliter la création d’un réseau de proxy et des activités comme la fraude de clic publicitaire.
XLAB a théorisé que la fluctuation rapide de l’activité du botnet est probablement due à la location de son infrastructure dans des régions spécifiques à d’autres acteurs criminels dans le cadre de ce qu’il a dit est un cycle de “retour de location” où les bots sont loués pour une période de temps définie pour permettre des opérations illégales, après quoi ils rejoignent le plus grand réseau VO1D.
Une analyse de la nouvelle version du malware ELF (S63) a révélé qu’elle est conçue pour télécharger, décrypter et exécuter une charge utile de deuxième étape qui est responsable de l’établissement des communications avec un serveur C2.
Le package compressé décrypté (TS01) contient quatre fichiers: install.sh, cv, vo1d et x.apk. Il commence par le script shell lançant le composant CV, qui, à son tour, lance à la fois VO1D et l’application Android après l’installation.
La fonction principale du module VO1D est de décrypter et de charger une charge utile intégrée, une porte dérobée capable d’établir une communication avec un serveur C2 et de télécharger et d’exécuter une bibliothèque native.
“Sa fonctionnalité principale reste inchangée”, a déclaré Xlab. “Cependant, il a subi des mises à jour importantes de ses mécanismes de communication de réseau, introduisant notamment un redirecteur C2. Le redirecteur C2 sert à fournir au bot la véritable adresse du serveur C2, en tirant parti d’un redirecteur codé en dur C2 et d’un grand pool de domaines générés par une DGA pour construire une architecture de réseau étendue.”
Pour sa part, l’application Android malveillante porte le nom du pack Services Google Play (“com.google.android.gms”) pour voler sous le radar. Il établit une persistance sur l’hôte en écoutant l’événement “boot_completed” afin qu’il s’exécute automatiquement après chaque redémarrage.
Il est également conçu pour lancer deux autres composants qui ont une fonctionnalité similaire à celle du module VO1D. La chaîne d’attaque ouvre la voie au déploiement d’un logiciel malveillant Android modulaire nommé MZMess qui incorpore pour quatre plugins différents –
- Popa (“com.app.mz.popan”) et Jaguar (“com.app.mz.jaguarn”) pour les services proxy
- Lxhwdg (“com.app.mz.lxhwdgn”), dont le but reste inconnu en raison de la sortie de son serveur C2 hors ligne
- Spirit (“com.app.mz.spiritn”) pour la promotion des annonces et l’inflation du trafic
L’absence de chevauchements des infrastructures entre MZMess et VO1D a soulevé la possibilité que la menace derrière l’activité malveillante soit de louer le service à d’autres groupes.
“Actuellement, VO1D est utilisé à but lucratif, mais son contrôle total sur les appareils permet aux attaquants de pivoter des cyberattaques à grande échelle ou d’autres activités criminelles [such as distributed denial-of-service (DDoS) attacks]”A déclaré XLab.” Les pirates pourraient les exploiter pour diffuser du contenu non autorisé. “