Google ha desarticulado una botnet que involucraba a más de 1,3 millones de dispositivos Android, la mayoría de ellos decodificadores de televisión, después de emprender acciones legales contra los dominios y servidores utilizados para controlar la red a finales de octubre.
La empresa afirma tener un alto grado de confianza en que el fabricante de dispositivos con sede en Shenzhen Videostrong integró deliberadamente una puerta trasera llamada x.cpe en numerosos modelos y marcas durante varios años y posteriormente vendió el acceso a operadores criminales. Google dijo que la actividad no parecía ser resultado de un empleado interno aislado ni de un fallo accidental del software.
La puerta trasera funciona como una aplicación del sistema dentro del firmware y tiene privilegios a nivel del sistema. Puede comunicarse con servidores de mando y control, instalar aplicaciones sin el conocimiento del propietario, ejecutar comandos, capturar pantallas y mapear la red local. Para permitir instalaciones silenciosas, primero desactiva las comprobaciones de aplicaciones de Google Play Protect.
Google dijo que observó a operadores utilizar el acceso para capturar capturas de pantalla en directo, registrar pulsaciones de teclas, recopilar información de cuentas, datos de dispositivos, listas de aplicaciones y registros del sistema, y abrir shells inversas para obtener acceso remoto mediante la línea de comandos. Los módulos criminales convertían principalmente los dispositivos en proxies residenciales o vendían su ancho de banda no utilizado. Otros componentes se empleaban para falsificar visualizaciones de publicidad en internet.
El hardware afectado no se limitaba a los dispositivos Android TV. La puerta trasera también se encontró en equipos de telesalud, máquinas de karaoke y señalización digital. TrendAI contabilizó 1.472.554 dispositivos infectados en 206 modelos entre el 3 de junio y el 1 de octubre, aunque señaló que la cifra real podría ser mayor. Malasia, Brasil, Irak, México y Taiwán registraron las cifras más altas, mientras que Estados Unidos, Alemania, el Reino Unido, Australia y Canadá tuvieron cada uno aproximadamente entre 26.000 y 42.000 dispositivos afectados.
Como parte de la operación, Google también desmanteló dominios de control asociados con más de una docena de familias de malware distribuidas a través de la puerta trasera. La Agencia Nacional de Policía de Japón, Lumen, HUMAN Security, Plume, Synthient y TrendAI contribuyeron a la investigación y la interrupción de la operación.
Google espera que la acción bloquee el acceso de los delincuentes a al menos 10 millones de dispositivos infectados adicionales, porque los mismos operadores distribuyeron malware a través de otros canales. Sin embargo, advirtió que quienes están detrás de la operación podrían adoptar rápidamente nuevas herramientas después de que se elimine parte de su infraestructura.
La puerta trasera x.cpe sigue integrada en el firmware afectado y reaparece después de que se reinicia un dispositivo, lo que significa que sus propietarios no pueden eliminarla permanentemente por sí mismos. TrendAI dijo que la limpieza requiere la intervención del proveedor, protecciones más sólidas de la plataforma o la sustitución del hardware. Plume recomienda un restablecimiento completo de fábrica porque podrían haberse instalado puertas traseras adicionales, aunque no confirma que el restablecimiento elimine x.cpe. Synthient aconseja a los consumidores desechar los dispositivos afectados.
Synthient ha publicado una lista de 182 nombres de modelos asociados con la campaña, aunque advirtió que el nombre de un modelo por sí solo no demuestra que esté infectado. Su investigación se centró en dispositivos de la marca MECOOL vinculados a Videostrong, incluido un MECOOL KM9PRO Max en el que encontró la puerta trasera preinstalada. Plume identificó más de una docena de dispositivos que se comunicaban con el servidor de control de la botnet, la mayoría de ellos de MECOOL.
Para las organizaciones, Synthient recomienda identificar los dispositivos potencialmente afectados utilizando sus indicadores, desconectarlos y desecharlos, bloquear los dominios y direcciones IP de control enumerados, y separar otros dispositivos inteligentes de los sistemas sensibles mediante la segmentación de red. TrendAI también aconseja a las empresas con trabajadores remotos tratar los dispositivos de consumo no gestionados en las redes domésticas como parte de su superficie de ataque y exigir dispositivos gestionados para el acceso corporativo.
Google dijo que las pruebas que vinculaban a Videostrong con la operación incluían la capacidad de la puerta trasera para transmitir configuraciones desde servidores de mando y control a otras aplicaciones de Videostrong, incluido su reproductor YokaTV. Una cuenta de GitHub que alojaba paquetes de la botnet utilizaba el nombre yf-videostrong. Synthient citó un documento firmado por el director de investigación y desarrollo de Videostrong y una coincidencia entre un dominio web de Videostrong y la dirección IP del panel de control de los operadores. Plume también descubrió que Videostrong suministraba tanto el firmware de los dispositivos como las herramientas de gestión remota.
Según Google, Videostrong ocultó el código malicioso para eludir las comprobaciones de compatibilidad y seguridad de los dispositivos Android certificados, cargándolo después del arranque inicial del dispositivo. Desde entonces, Google ha cambiado su proceso de revisión y está mejorando las comprobaciones del firmware de los productos Android TV certificados.
Google ha prohibido a Videostrong, así como a cualquier futura filial o empresa afiliada, producir o vender dispositivos Android certificados y suministrar software a otros fabricantes de dispositivos certificados. A fecha del 2 de noviembre, el sitio web de Videostrong todavía incluía productos descritos como Google Certified Android TV Box y Google Certified Android TV Stick. Plume dijo que la botnet afectaba tanto a dispositivos certificados por Google como a productos que ejecutaban software del Proyecto de Código Abierto de Android, aunque Google no reveló cuántos dispositivos certificados estaban involucrados.
Fuentes: The Hacker News.