Google afirma que emprendió acciones legales junto con socios del sector para desarticular la botnet XCPE, que había incorporado más de 1,3 millones de decodificadores Android TV. Según un informe del Grupo de Inteligencia sobre Amenazas de Google (GTIG), los dispositivos incluían software malicioso que ponía las conexiones a internet de los usuarios a disposición de servicios de proxy residencial y facilitaba el fraude publicitario.
GTIG dijo que cortó sus vínculos con Videostrong Technology, un fabricante chino de TV Box que, según identificaron este grupo y otros expertos, era responsable de instalar el malware. Google también tomó medidas contra los dominios y servidores utilizados para controlar la botnet e instalar software malicioso adicional en los dispositivos infectados.
Los proxies residenciales permiten a los clientes dirigir el tráfico web a través de las direcciones de internet de otras personas, lo que puede ocultar su identidad o ubicación aparente. GTIG dijo que Videostrong vendió a afiliados criminales el acceso a los dispositivos comprometidos, que podían usarlos para distribuir más malware. El informe describe esta práctica como una grave vulneración de la confianza de los usuarios, ya que los dispositivos se utilizaban sin el conocimiento ni el consentimiento de sus propietarios.
Los TV Box constituían la mayor parte de la botnet, pero GTIG también encontró el malware XCPE en otros productos conectados a internet basados en Android, incluidos dispositivos de telemedicina, máquinas de karaoke y sistemas de señalización digital. Google dijo que los fabricantes de dispositivos deben superar pruebas de compatibilidad y seguridad, pero Videostrong había encontrado una manera de instalar su software durante el primer inicio de un dispositivo. Google afirma que desde entonces ha corregido esa vulnerabilidad.
Según GTIG, se espera que la operación corte el acceso de XCPE a, al menos, otros 10 millones de dispositivos comprometidos. El grupo advirtió que los afiliados contaban con canales de distribución ajenos a XCPE, mientras que Ben Brundage, fundador de Synthient, describió la cifra comunicada de 1,3 millones de dispositivos como una estimación conservadora.
Google reconoció la labor de Synthient y de otros socios del sector en la operación. Por separado, Synthient informó que había encontrado componentes de malware y proxy de Videostrong en un TV Box MECOOL infectado de antemano. Su informe también vinculó el malware con servicios de proxy, entre ellos AppSalt, también conocido como Honeygain, y Grass. El informe de GTIG mencionó a varios otros proveedores de proxy cuyos kits de desarrollo de software fueron descargados por dispositivos infectados, incluidos EarnFM, Traffmonetizer, Jaguar, LINKFOG, BMW/IPWeb y GaGaNode.
Fuentes: Krebs on Security.