Google anunță destructurarea XCPE, o rețea care cuprindea peste 1,3 milioane de TV box-uri compromise, și acuză producătorul Videostrong Technology de dezvoltarea și operarea intenționată a acesteia pentru profit. Compania a întrerupt relațiile cu producătorul și i-a interzis să mai fabrice dispozitive cu aplicații Google preinstalate.
În raportul publicat pe 3 noiembrie, Google Threat Intelligence Group precizează că operațiunea s-a desfășurat în săptămâna precedentă, alături de parteneri din industrie. Potrivit investigației, accesul la dispozitive era vândut unor afiliați care instalau alte componente malware, fără știrea sau acordul proprietarilor.
Cum funcționa botnetul XCPE
Punctul de intrare era un backdoor integrat în firmware, adică o componentă software care permitea accesul neautorizat la dispozitiv. Acesta funcționa cu privilegii de sistem și putea fi reinstalat automat la repornire dacă utilizatorul îi elimina pachetul din zona destinată aplicațiilor instalate. Google spune că malware-ul a fost inclus în mai multe modele și branduri, de-a lungul mai multor ani. Deși majoritatea dispozitivelor identificate erau TV box-uri cu Android TV, cercetătorii au descoperit și echipamente pentru telemedicină, aparate de karaoke și sisteme de afișaj digital infectate.
Dispozitivele erau folosite pentru fraude publicitare, distribuirea altor programe malițioase și conectarea la rețele de proxy rezidențial. În ultimul caz, traficul altor persoane era rutat prin conexiunea la internet a victimei, fără consimțământul acesteia. Investigația a identificat inclusiv capturi de ecran realizate de la distanță, simularea apăsărilor de taste și extragerea unor informații despre conturi, dispozitive și aplicațiile instalate. Malware-ul putea, de asemenea, să dezactiveze verificarea aplicațiilor prin Google Play Protect.
Google acuză producătorul că a ocolit verificările de securitate
Potrivit Google, Videostrong a folosit tehnici de ascundere a codului pentru a exploata o lacună în testele de certificare și pentru a încărca software malițios după prima pornire a dispozitivului. Compania spune că a modificat procesul de verificare pentru a preveni situații similare.
Cercetătorii apreciază, cu un nivel ridicat de încredere, că operațiunea a fost dezvoltată și administrată intenționat de producător. Persistența infrastructurii și modificările repetate ale configurațiilor îi determină să respingă explicația unei simple erori de dezvoltare sau a acțiunii izolate a unui angajat.
Interdicția anunțată vizează și viitoarele filiale sau entități afiliate Videostrong. Acestea nu vor putea produce și comercializa dispozitive Android certificate sau furniza software altor producători certificați.
Intervenția ar putea afecta alte 10 milioane de dispozitive compromise
Google a inițiat acțiuni juridice împotriva infrastructurii XCPE și a domeniilor de comandă și control folosite de peste 12 familii de malware distribuite prin acest backdoor.
Deoarece afiliații își răspândeau programele și prin alte canale, Google estimează că eliminarea domeniilor respective va întrerupe accesul la cel puțin alte 10 milioane de dispozitive compromise. Acestea reprezintă o estimare separată de cele peste 1,3 milioane de TV box-uri din rețeaua XCPE. La investigație au participat Agenția Națională de Poliție din Japonia, Lumen, HUMAN Security, Plume, Synthient și TrendAI.
Google avertizează că operatorii pot migra către alte infrastructuri și recomandă utilizatorilor să cumpere dispozitive de la producători de încredere, să păstreze protecțiile de securitate active și să trateze cu prudență aplicațiile care oferă bani pentru „partajarea conexiunii la internet”.
About the Author
