Le Br\u00e9sil, l’Afrique du Sud, l’Indon\u00e9sie, l’Argentine et la Tha\u00eflande sont devenus la cible d’une campagne qui a infect\u00e9 des appareils TV Android avec un malware botnet doubl\u00e9 VO1D<\/strong>.<\/p>\n Il a \u00e9t\u00e9 constat\u00e9 que la variante am\u00e9lior\u00e9e de VO1D comprend 800 000 adresses IP actives quotidiennes, le botnet faisant \u00e9voluer un pic de 1 590 299 le 19 janvier 2025, couvrant 226 pays. Au 25 f\u00e9vrier 2025, l’Inde a connu une augmentation notable du taux d’infection, passant de moins de 1% (3 901) \u00e0 18,17% (217 771). <\/p>\n “VO1D a \u00e9volu\u00e9 pour am\u00e9liorer ses capacit\u00e9s de furtivit\u00e9, de r\u00e9silience et de anti-d\u00e9tection”, Qianxin XLAB dit<\/a>. “Le cryptage RSA s\u00e9curise la communication du r\u00e9seau, emp\u00eachant [command-and-control] prise de contr\u00f4le m\u00eame si [the Domain Generation Algorithm] Les domaines sont enregistr\u00e9s par des chercheurs. Chaque charge utile utilise un t\u00e9l\u00e9chargeur unique, avec un cryptage XXTE et des cl\u00e9s prot\u00e9g\u00e9es par RSA, ce qui rend l’analyse plus difficile. “<\/p>\n Le malware a \u00e9t\u00e9 document\u00e9 pour la premi\u00e8re fois par Doctor Web en septembre 2024 comme affectant les bo\u00eetes de t\u00e9l\u00e9vision bas\u00e9es sur Android au moyen d’une porte d\u00e9rob\u00e9e capable de t\u00e9l\u00e9charger des ex\u00e9cutables suppl\u00e9mentaires en fonction des instructions \u00e9mises par le serveur de commande et de contr\u00f4le (C2).<\/p>\n On ne sait pas exactement comment les compromis ont lieu, bien qu’il soit soup\u00e7onn\u00e9 d’impliquer une sorte d’attaque en cha\u00eene d’approvisionnement ou l’utilisation de versions non officielles du firmware avec un acc\u00e8s racine int\u00e9gr\u00e9.<\/p>\n Google a d\u00e9clar\u00e9 \u00e0 The Hacker News \u00e0 l’\u00e9poque que les mod\u00e8les de t\u00e9l\u00e9vision “hors marque” infect\u00e9s n’\u00e9taient pas des appareils Android certifi\u00e9s de protection et qu’ils ont probablement utilis\u00e9 le code source du r\u00e9f\u00e9rentiel de code Open Source (AOSP).<\/p>\n La derni\u00e8re it\u00e9ration de la campagne de logiciels malveillants montre qu’elle fonctionne \u00e0 grande \u00e9chelle dans le but de faciliter la cr\u00e9ation d’un r\u00e9seau de proxy et des activit\u00e9s comme la fraude de clic publicitaire.<\/p>\n XLAB a th\u00e9oris\u00e9 que la fluctuation rapide de l’activit\u00e9 du botnet est probablement due \u00e0 la location de son infrastructure dans des r\u00e9gions sp\u00e9cifiques \u00e0 d’autres acteurs criminels dans le cadre de ce qu’il a dit est un cycle de “retour de location” o\u00f9 les bots sont lou\u00e9s pour une p\u00e9riode de temps d\u00e9finie pour permettre des op\u00e9rations ill\u00e9gales, apr\u00e8s quoi ils rejoignent le plus grand r\u00e9seau VO1D.<\/p>\n Une analyse de la nouvelle version du malware ELF (S63) a r\u00e9v\u00e9l\u00e9 qu’elle est con\u00e7ue pour t\u00e9l\u00e9charger, d\u00e9crypter et ex\u00e9cuter une charge utile de deuxi\u00e8me \u00e9tape qui est responsable de l’\u00e9tablissement des communications avec un serveur C2.<\/p>\n Le package compress\u00e9 d\u00e9crypt\u00e9 (TS01) contient quatre fichiers: install.sh, cv, vo1d et x.apk. Il commence par le script shell lan\u00e7ant le composant CV, qui, \u00e0 son tour, lance \u00e0 la fois VO1D et l’application Android apr\u00e8s l’installation.<\/p>\n La fonction principale du module VO1D est de d\u00e9crypter et de charger une charge utile int\u00e9gr\u00e9e, une porte d\u00e9rob\u00e9e capable d’\u00e9tablir une communication avec un serveur C2 et de t\u00e9l\u00e9charger et d’ex\u00e9cuter une biblioth\u00e8que native.<\/p>\n “Sa fonctionnalit\u00e9 principale reste inchang\u00e9e”, a d\u00e9clar\u00e9 Xlab. “Cependant, il a subi des mises \u00e0 jour importantes de ses m\u00e9canismes de communication de r\u00e9seau, introduisant notamment un redirecteur C2. Le redirecteur C2 sert \u00e0 fournir au bot la v\u00e9ritable adresse du serveur C2, en tirant parti d’un redirecteur cod\u00e9 en dur C2 et d’un grand pool de domaines g\u00e9n\u00e9r\u00e9s par une DGA pour construire une architecture de r\u00e9seau \u00e9tendue.”<\/p>\n Pour sa part, l’application Android malveillante porte le nom du pack Services Google Play<\/a> (“com.google.android.gms”) pour voler sous le radar. Il \u00e9tablit une persistance sur l’h\u00f4te en \u00e9coutant l’\u00e9v\u00e9nement “boot_completed” afin qu’il s’ex\u00e9cute automatiquement apr\u00e8s chaque red\u00e9marrage.<\/p>\n![\"Cybers\u00e9curit\u00e9\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2025\/03\/Le-pic-de-Vo1d-Botnet-depasse-159-m-de-televiseurs.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/div>\n