Plus de 1,3 million d’appareils ont été enrôlés dans le botnet XCPE par l’intermédiaire d’une porte dérobée qui pourrait avoir été préinstallée sur des appareils électroniques grand public, selon un rapport du Google Threat Intelligence Group. Google et ses partenaires du secteur ont perturbé le réseau la semaine dernière et ont indiqué être très confiants quant au fait que le fabricant chinois Videostrong Technology Co. a développé et exploité le logiciel malveillant à des fins lucratives.
La porte dérobée, identifiée sous les noms x.cpe ou com.oemservice, était intégrée au micrologiciel de décodeurs TV Android et d’autres appareils fonctionnant sous Android. Elle disposait de privilèges système et pouvait se réinstaller depuis la partition du micrologiciel si un utilisateur tentait de la supprimer. Les boîtiers TV Android représentaient la plupart des appareils infectés, mais le logiciel malveillant a également été découvert sur des appareils de télésanté, des machines de karaoké et des équipements d’affichage numérique.
Videostrong aurait vendu à des affiliés criminels l’accès aux appareils compromis. Ceux-ci utilisaient des logiciels supplémentaires pour commettre des fraudes publicitaires, enrôlaient les appareils dans des réseaux de proxys résidentiels qui vendaient leur bande passante, et distribuaient d’autres logiciels malveillants. Les composants du botnet ont évolué au fil du temps : les versions ultérieures utilisaient MQTT pour les communications de commande et de contrôle, et ajoutaient des capacités d’élévation de privilèges et d’évasion de l’analyse.
Google a engagé des poursuites afin de saisir les domaines et les serveurs utilisés par Videostrong, et a perturbé l’infrastructure associée à plus d’une douzaine de familles de logiciels malveillants affiliées. L’entreprise a également interdit à Videostrong, ainsi qu’à ses futures filiales ou sociétés affiliées, de développer ou de fournir des logiciels pour des appareils Android certifiés. Google a déclaré que cette action devrait couper l’accès à au moins 10 millions d’autres appareils compromis, auxquels les affiliés accédaient par d’autres canaux.
L’opération a impliqué l’Agence nationale de police du Japon, Lumen, HUMAN Security, Plume, Synthient et TrendAI. Google a également renforcé les contrôles d’intégrité du micrologiciel des appareils TV Android certifiés. Toutefois, l’entreprise n’a pas publié la liste complète des modèles concernés, et la porte dérobée demeure présente dans le micrologiciel des appareils déjà en circulation.
Comme le logiciel malveillant a été installé lors de la fabrication, les propriétaires de boîtiers à bas coût non certifiés n’ont peut-être aucun moyen simple de le détecter ou de le supprimer. Les appareils infectés pouvaient désactiver Google Play Protect, prendre des captures d’écran, exécuter des commandes shell et acheminer le trafic réseau sans signe visible. Google recommande d’acheter auprès de partenaires Android certifiés et d’activer les protections de sécurité disponibles.
Sources: Cord Cutters News.