Google affirme avoir engagé des actions en justice avec des partenaires du secteur afin de perturber le botnet XCPE, qui avait enrôlé plus de 1,3 million de décodeurs Android TV. Selon un rapport du Google Threat Intelligence Group (GTIG), ces appareils étaient équipés de logiciels malveillants qui mettaient les connexions Internet des utilisateurs à la disposition de services de proxys résidentiels et facilitaient la fraude publicitaire.
Le GTIG a déclaré avoir rompu ses liens avec Videostrong Technology, un fabricant chinois de boîtiers TV que lui-même et d’autres experts ont identifié comme responsable de l’installation du logiciel malveillant. Google a également pris des mesures contre les domaines et les serveurs utilisés pour contrôler le botnet et charger des logiciels malveillants supplémentaires sur les appareils infectés.
Les proxys résidentiels permettent aux clients d’acheminer leur trafic Web par les adresses Internet d’autres personnes, ce qui peut masquer leur identité ou leur emplacement apparent. Le GTIG a déclaré que Videostrong vendait aux affiliés criminels l’accès aux appareils compromis, qu’ils pouvaient utiliser pour diffuser d’autres logiciels malveillants. Le rapport décrit cette pratique comme une grave atteinte à la confiance des utilisateurs, car les appareils étaient utilisés à l’insu de leurs propriétaires et sans leur consentement.
Les boîtiers TV représentaient la majeure partie du botnet, mais le GTIG a également détecté le logiciel malveillant XCPE dans d’autres produits connectés à Internet fonctionnant sous Android, notamment des appareils de télésanté, des machines de karaoké et des systèmes d’affichage numérique. Google a déclaré que les fabricants d’appareils doivent réussir des tests de compatibilité et de sécurité, mais que Videostrong avait trouvé un moyen d’installer ses logiciels au premier démarrage d’un appareil. Google affirme avoir depuis corrigé cette faille.
Selon le GTIG, le démantèlement devrait priver XCPE de l’accès à au moins 10 millions d’appareils compromis supplémentaires. Le groupe a averti que les affiliés disposaient de canaux de diffusion autres que XCPE, tandis que Ben Brundage, fondateur de Synthient, a décrit le chiffre annoncé de 1,3 million d’appareils comme une estimation prudente.
Google a salué le travail de Synthient et d’autres partenaires du secteur dans le cadre de cette opération. Synthient a indiqué séparément avoir découvert les composants malveillants et de proxy de Videostrong sur un boîtier TV MECOOL préinfecté. Son rapport a également établi un lien entre le logiciel malveillant et des services de proxy, notamment AppSalt, également connu sous le nom de Honeygain, et Grass. Le rapport du GTIG a cité plusieurs autres fournisseurs de proxys dont les kits de développement logiciel ont été téléchargés par les appareils infectés, notamment EarnFM, Traffmonetizer, Jaguar, LINKFOG, BMW/IPWeb et GaGaNode.
Sources: Krebs on Security.