Google e i partner smantellano una botnet collegata a 1,3 milioni di TV box Android

Google afferma di aver intrapreso un’azione legale insieme a partner del settore per smantellare la botnet XCPE, che aveva arruolato oltre 1,3 milioni di set-top box Android TV. Secondo un rapporto del Google Threat Intelligence Group (GTIG), i dispositivi erano dotati di software dannoso che rendeva disponibili le connessioni Internet degli utenti ai servizi di proxy residenziali e favoriva le frodi pubblicitarie.

GTIG ha dichiarato di aver interrotto i rapporti con Videostrong Technology, un produttore cinese di TV box che, secondo il gruppo e altri esperti, era responsabile dell’installazione del malware. Google ha inoltre agito contro i domini e i server utilizzati per controllare la botnet e caricare altro software dannoso sui dispositivi infetti.

I proxy residenziali consentono ai clienti di instradare il traffico web attraverso gli indirizzi Internet di altre persone, così da nascondere la propria identità o la propria posizione apparente. GTIG ha affermato che Videostrong vendeva l’accesso ai dispositivi compromessi a partner criminali, che potevano usarli per distribuire altro malware. Il rapporto descrive questa pratica come una grave violazione della fiducia degli utenti, poiché i dispositivi venivano utilizzati senza che i proprietari ne fossero a conoscenza o avessero dato il proprio consenso.

I TV box costituivano la maggior parte della botnet, ma GTIG ha trovato il malware XCPE anche in altri prodotti connessi a Internet basati su Android, tra cui dispositivi per la telemedicina, macchine per il karaoke e sistemi di segnaletica digitale. Google ha dichiarato che i produttori di dispositivi devono superare test di compatibilità e sicurezza, ma che Videostrong aveva trovato il modo di installare il proprio software durante il primo avvio del dispositivo. Google afferma di aver poi corretto questa vulnerabilità.

Secondo GTIG, si prevede che l’operazione interrompa l’accesso di XCPE ad almeno altri 10 milioni di dispositivi compromessi. Il gruppo ha avvertito che i partner criminali disponevano di canali di distribuzione anche al di fuori di XCPE, mentre Ben Brundage, fondatore di Synthient, ha definito prudente la cifra di 1,3 milioni di dispositivi riportata.

Google ha ringraziato Synthient e gli altri partner del settore per il loro contributo all’operazione. In un rapporto separato, Synthient ha riferito di aver trovato il malware e i componenti proxy di Videostrong su un TV box MECOOL infettato prima della vendita. Il rapporto ha inoltre collegato il malware a servizi proxy tra cui AppSalt, noto anche come Honeygain, e Grass. Il rapporto di GTIG ha citato diversi altri fornitori di proxy i cui kit di sviluppo software erano stati scaricati dai dispositivi infetti, tra cui EarnFM, Traffmonetizer, Jaguar, LINKFOG, BMW/IPWeb e GaGaNode.

Fonti: Krebs on Security.