Google a perturbé un botnet impliquant plus de 1,3 million d’appareils Android, principalement des décodeurs TV, après avoir engagé des poursuites judiciaires contre les domaines et les serveurs utilisés pour contrôler le réseau fin octobre.

L’entreprise affirme être très certaine que le fabricant d’appareils basé à Shenzhen, Videostrong, a délibérément intégré une porte dérobée appelée x.cpe dans de nombreux modèles et marques pendant plusieurs années, avant d’en vendre l’accès à des opérateurs criminels. Google a déclaré que cette activité ne semblait pas être le résultat d’un incident isolé impliquant un employé ou d’une faille logicielle accidentelle.

La porte dérobée fonctionne comme une application système au sein du micrologiciel et dispose de privilèges au niveau du système. Elle peut communiquer avec des serveurs de commande et de contrôle, installer des applications à l’insu du propriétaire, exécuter des commandes, capturer des écrans et cartographier le réseau local. Pour permettre les installations silencieuses, elle désactive d’abord les contrôles des applications de Google Play Protect.

Google a indiqué avoir observé des opérateurs utiliser cet accès pour capturer des captures d’écran en direct, enregistrer les frappes au clavier, recueillir des informations de compte, des données sur les appareils, des listes d’applications et des journaux système, ainsi que pour ouvrir des shells inversés permettant un accès distant en ligne de commande. Les modules criminels transformaient principalement les appareils en proxys résidentiels ou vendaient leur bande passante inutilisée. D’autres composants servaient à falsifier les visionnages de publicités en ligne.

Les appareils concernés ne se limitaient pas aux boîtiers Android TV. La porte dérobée a également été découverte sur des équipements de télésanté, des machines de karaoké et des affichages numériques. TrendAI a recensé 1 472 554 appareils infectés répartis sur 206 modèles entre le 3 juin et le 1er octobre, tout en précisant que le nombre réel pouvait être supérieur. La Malaisie, le Brésil, l’Irak, le Mexique et Taïwan ont enregistré les plus grands nombres, tandis que les États-Unis, l’Allemagne, le Royaume-Uni, l’Australie et le Canada comptaient chacun environ 26 000 à 42 000 appareils concernés.

Dans le cadre de l’opération, Google a également neutralisé des domaines de contrôle associés à plus d’une douzaine de familles de logiciels malveillants distribuées par l’intermédiaire de la porte dérobée. L’Agence nationale de la police japonaise, Lumen, HUMAN Security, Plume, Synthient et TrendAI ont contribué à l’enquête et à la perturbation du réseau.

Google s’attend à ce que cette action bloque l’accès des criminels à au moins 10 millions d’appareils infectés supplémentaires, car les mêmes opérateurs distribuaient des logiciels malveillants par d’autres canaux. Toutefois, l’entreprise a averti que les responsables de l’opération pourraient rapidement adopter de nouveaux outils après la suppression d’une partie de leur infrastructure.

La porte dérobée x.cpe reste intégrée au micrologiciel des appareils concernés et réapparaît après le redémarrage d’un appareil, ce qui signifie que les propriétaires ne peuvent pas la supprimer définitivement eux-mêmes. TrendAI a déclaré que le nettoyage nécessitait une intervention du fabricant, des protections renforcées de la plateforme ou le remplacement du matériel. Plume recommande une réinitialisation complète aux paramètres d’usine, car d’autres portes dérobées pourraient avoir été installées, tout en précisant ne pas confirmer que cette réinitialisation supprime x.cpe. Synthient conseille aux consommateurs de se débarrasser des appareils concernés.

Synthient a publié une liste de 182 noms de modèles associés à la campagne, tout en avertissant qu’un nom de modèle ne suffit pas à prouver une infection. Son enquête s’est concentrée sur des appareils de marque MECOOL liés à Videostrong, notamment un MECOOL KM9PRO Max sur lequel la porte dérobée était préinstallée. Plume a identifié plus d’une douzaine d’appareils communiquant avec le serveur de contrôle du botnet, dont la plupart provenaient de MECOOL.

Pour les organisations, Synthient recommande d’identifier les appareils potentiellement concernés à l’aide de ses indicateurs, de les déconnecter et de les mettre au rebut, de bloquer les domaines et adresses IP de contrôle répertoriés, et de séparer les autres appareils intelligents des systèmes sensibles grâce à une segmentation du réseau. TrendAI conseille également aux entreprises dont les employés travaillent à distance de considérer les appareils grand public non gérés présents sur les réseaux domestiques comme faisant partie de leur surface d’attaque et d’exiger l’utilisation d’appareils gérés pour l’accès aux ressources de l’entreprise.

Google a déclaré que les éléments reliant Videostrong à l’opération comprenaient la capacité de la porte dérobée à transmettre des paramètres provenant des serveurs de commande et de contrôle à d’autres applications de Videostrong, notamment son lecteur YokaTV Player. Un compte GitHub hébergeant des paquets du botnet utilisait le nom yf-videostrong. Synthient a cité un document signé par le directeur de la recherche et du développement de Videostrong, ainsi qu’une correspondance entre un domaine web de Videostrong et l’adresse IP du panneau de contrôle des opérateurs. Plume a également constaté que Videostrong fournissait à la fois le micrologiciel des appareils et les outils de gestion à distance.

Selon Google, Videostrong dissimulait le code malveillant afin de contourner les contrôles de compatibilité et de sécurité des appareils Android certifiés, en le chargeant après le démarrage initial de l’appareil. Google a depuis modifié son processus d’examen et améliore les contrôles du micrologiciel pour les produits Android TV certifiés.

Google a interdit à Videostrong, ainsi qu’à toutes ses futures filiales ou sociétés affiliées, de produire ou de vendre des appareils Android certifiés et de fournir des logiciels à d’autres fabricants d’appareils certifiés. Au 2 novembre, le site web de Videostrong répertoriait encore des produits présentés comme Google Certified Android TV Box et Google Certified Android TV Stick. Plume a déclaré que le botnet avait affecté à la fois des appareils certifiés par Google et des produits fonctionnant avec le logiciel Android Open Source Project, bien que Google n’ait pas précisé combien d’appareils certifiés étaient concernés.

Sources: The Hacker News.