Más de 1,3 millones de dispositivos fueron inscritos en la botnet XCPE mediante una puerta trasera que podría haber estado preinstalada en dispositivos electrónicos de consumo, según un informe del Grupo de Inteligencia de Amenazas de Google. Google y sus socios del sector desarticularon la red la semana pasada y dijeron tener un alto grado de confianza en que el fabricante con sede en China Videostrong Technology Co. desarrolló y operó el malware con fines económicos.
La puerta trasera, identificada como x.cpe o com.oemservice, estaba integrada en el firmware de decodificadores Android TV y otros equipos basados en Android. Se ejecutaba con privilegios de nivel de sistema y podía reinstalarse desde la partición del firmware si un usuario intentaba eliminarla. Los decodificadores Android TV constituían la mayoría de los dispositivos infectados, aunque el malware también se encontró en dispositivos de telemedicina, máquinas de karaoke y equipos de señalización digital.
Según se informó, Videostrong vendía a afiliados criminales el acceso a dispositivos comprometidos. Los afiliados usaban software adicional para cometer fraude publicitario, inscribían dispositivos en redes de proxy residenciales que vendían su ancho de banda y distribuían otros programas maliciosos. Los componentes de la botnet cambiaron con el tiempo: las versiones posteriores usaban MQTT para el comando y control, y añadieron capacidades de escalada de privilegios y de evasión del análisis.
Google emprendió acciones legales para incautar los dominios y servidores utilizados por Videostrong y desarticuló la infraestructura asociada con más de una docena de familias de malware de afiliados. La empresa también prohibió a Videostrong y a sus futuras filiales o afiliados crear o suministrar software para dispositivos Android certificados. Google dijo que se espera que esta medida corte el acceso a al menos 10 millones de dispositivos comprometidos adicionales a los que los afiliados llegaban por otros canales.
En la operación participaron la Agencia Nacional de Policía de Japón, Lumen, HUMAN Security, Plume, Synthient y TrendAI. Google también reforzó las comprobaciones de integridad del firmware de los dispositivos Android TV certificados. Sin embargo, la empresa no ha publicado una lista completa de los modelos afectados y la puerta trasera sigue presente en el firmware de los dispositivos que ya están en circulación.
Como el malware se instalaba durante la fabricación, los propietarios de decodificadores de bajo costo sin certificación quizá no tengan una forma sencilla de detectarlo o eliminarlo. Los dispositivos infectados podían desactivar Google Play Protect, hacer capturas de pantalla, ejecutar comandos de shell y redirigir el tráfico de red sin mostrar señales visibles. Google recomienda comprar dispositivos de socios certificados de Android y activar las protecciones de seguridad disponibles.
Fuentes: Cord Cutters News.