Mais de 1,3 milhão de dispositivos foram inscritos na botnet XCPE por meio de uma backdoor que pode ter sido pré-instalada em eletrônicos de consumo, segundo um relatório do Google Threat Intelligence Group. O Google e parceiros do setor desarticularam a rede na semana passada e disseram ter grande confiança de que a fabricante chinesa Videostrong Technology Co. desenvolveu e operou o malware para obter ganhos financeiros.
A backdoor, identificada como x.cpe ou com.oemservice, foi incorporada ao firmware de aparelhos Android TV e outros equipamentos baseados em Android. Ela operava com privilégios de sistema e podia se reinstalar a partir da partição de firmware caso um usuário tentasse removê-la. As TV boxes Android compunham a maioria dos dispositivos infectados, embora o malware também tenha sido encontrado em equipamentos de telemedicina, máquinas de karaokê e dispositivos de sinalização digital.
A Videostrong supostamente vendia acesso aos dispositivos comprometidos a afiliados criminosos. Os afiliados usavam software adicional para fraude publicitária, inscreviam dispositivos em redes de proxies residenciais que vendiam sua largura de banda e distribuíam outros malwares. Os componentes da botnet mudaram ao longo do tempo: as versões posteriores usavam MQTT para comando e controle e acrescentavam recursos de elevação de privilégios e de evasão de análise.
O Google tomou medidas legais para apreender domínios e servidores usados pela Videostrong e desarticulou a infraestrutura associada a mais de uma dúzia de famílias de malware de afiliados. A empresa também proibiu a Videostrong e suas futuras subsidiárias ou afiliadas de criar ou fornecer software para dispositivos Android certificados. Segundo o Google, espera-se que a ação corte o acesso a pelo menos mais 10 milhões de dispositivos comprometidos, alcançados por afiliados por outros canais.
A operação envolveu a Agência Nacional de Polícia do Japão, Lumen, HUMAN Security, Plume, Synthient e TrendAI. O Google também reforçou as verificações de integridade do firmware dos dispositivos Android TV certificados. No entanto, a empresa não divulgou uma lista completa dos modelos afetados, e a backdoor permanece no firmware dos dispositivos que já estão em circulação.
Como o malware foi instalado durante a fabricação, os proprietários de aparelhos de baixo custo e não certificados podem não ter uma maneira simples de identificá-lo ou removê-lo. Os dispositivos infectados podem desativar o Google Play Protect, fazer capturas de tela, executar comandos de shell e encaminhar tráfego de rede sem sinais visíveis. O Google recomenda comprar de parceiros Android certificados e ativar as proteções de segurança disponíveis.
Fontes: Cord Cutters News.