Più di 1,3 milioni di dispositivi sono stati arruolati nella botnet XCPE tramite una backdoor che potrebbe essere stata preinstallata su dispositivi elettronici di consumo, secondo un rapporto del Google Threat Intelligence Group. La scorsa settimana Google e i partner del settore hanno interrotto la rete e hanno dichiarato di avere un alto grado di certezza che il produttore cinese Videostrong Technology Co. abbia sviluppato e gestito il malware per ottenere un guadagno finanziario.
La backdoor, identificata come x.cpe o com.oemservice, era integrata nel firmware dei decoder Android TV e di altro hardware basato su Android. Operava con privilegi a livello di sistema e poteva reinstallarsi dalla partizione del firmware se un utente cercava di rimuoverla. La maggior parte dei dispositivi infetti era costituita da decoder Android TV, anche se il malware è stato trovato anche su dispositivi per la telemedicina, macchine per il karaoke e apparecchiature per la segnaletica digitale.
Secondo quanto riferito, Videostrong vendeva ad affiliati criminali l'accesso ai dispositivi compromessi. Gli affiliati usavano software aggiuntivo per commettere frodi pubblicitarie, inserivano i dispositivi in reti di proxy residenziali che vendevano la loro larghezza di banda e distribuivano altri malware. I componenti della botnet sono cambiati nel tempo: le versioni più recenti utilizzavano MQTT per il comando e controllo e aggiungevano funzionalità di escalation dei privilegi e anti-analisi.
Google ha intrapreso un'azione legale per sequestrare i domini e i server utilizzati da Videostrong e ha interrotto l'infrastruttura associata a più di una dozzina di famiglie di malware affiliate. L'azienda ha inoltre impedito a Videostrong e alle sue future sussidiarie o affiliate di sviluppare o fornire software per dispositivi Android certificati. Google ha dichiarato che si prevede che l'azione bloccherà l'accesso ad almeno altri 10 milioni di dispositivi compromessi, raggiunti dagli affiliati tramite altri canali.
All'operazione hanno partecipato la National Police Agency del Giappone, Lumen, HUMAN Security, Plume, Synthient e TrendAI. Google ha inoltre rafforzato i controlli di integrità del firmware per i dispositivi Android TV certificati. Tuttavia, l'azienda non ha pubblicato un elenco completo dei modelli interessati e la backdoor è ancora presente nel firmware dei dispositivi già in circolazione.
Poiché il malware veniva installato durante la produzione, i proprietari di decoder a basso costo non certificati potrebbero non avere un modo semplice per individuarlo o rimuoverlo. I dispositivi infetti potrebbero disattivare Google Play Protect, acquisire schermate, eseguire comandi shell e instradare il traffico di rete senza segnali visibili. Google consiglia di acquistare dispositivi da partner Android certificati e di attivare le protezioni di sicurezza disponibili.
Fonti: Cord Cutters News.