Google ha interrotto una botnet che coinvolgeva oltre 1,3 milioni di dispositivi Android, la maggior parte dei quali set-top box TV, dopo aver intrapreso un'azione legale contro i domini e i server utilizzati per controllare la rete alla fine di ottobre.
L'azienda afferma di avere un'elevata certezza che il produttore di dispositivi con sede a Shenzhen Videostrong abbia deliberatamente incorporato una backdoor chiamata x.cpe in numerosi modelli e marchi per diversi anni, vendendo poi l'accesso a operatori criminali. Google ha dichiarato che l'attività non sembrava essere il risultato di un singolo dipendente infedele o di un errore software accidentale.
La backdoor opera come applicazione di sistema all'interno del firmware e dispone di privilegi a livello di sistema. Può comunicare con server di comando e controllo, installare applicazioni all'insaputa del proprietario, eseguire comandi, catturare schermate e mappare la rete locale. Per consentire installazioni silenziose, disabilita innanzitutto i controlli delle applicazioni di Google Play Protect.
Google ha affermato di aver osservato gli operatori utilizzare l'accesso per acquisire schermate in tempo reale, registrare la pressione dei tasti, raccogliere informazioni sugli account, dati sui dispositivi, elenchi delle applicazioni e registri di sistema, nonché aprire shell inverse per ottenere accesso remoto alla riga di comando. I moduli criminali trasformavano principalmente i dispositivi in proxy residenziali oppure vendevano la loro larghezza di banda inutilizzata. Altri componenti venivano utilizzati per falsificare le visualizzazioni della pubblicità online.
L'hardware interessato non era limitato ai box Android TV. La backdoor è stata trovata anche su apparecchiature per la telemedicina, macchine per il karaoke e sistemi di segnaletica digitale. TrendAI ha contato 1.472.554 dispositivi infetti distribuiti su 206 modelli tra il 3 giugno e il 1° ottobre, osservando però che il numero effettivo potrebbe essere superiore. Malaysia, Brasile, Iraq, Messico e Taiwan hanno registrato i numeri più elevati, mentre Stati Uniti, Germania, Regno Unito, Australia e Canada hanno registrato ciascuno circa 26.000-42.000 dispositivi interessati.
Nell'ambito dell'operazione, Google ha inoltre messo offline i domini di controllo associati a più di una dozzina di famiglie di malware distribuite attraverso la backdoor. Alla ricerca e all'interruzione hanno contribuito l'Agenzia nazionale di polizia giapponese, Lumen, HUMAN Security, Plume, Synthient e TrendAI.
Google prevede che l'azione bloccherà l'accesso dei criminali ad almeno altri 10 milioni di dispositivi infetti, poiché gli stessi operatori distribuivano malware attraverso altri canali. Tuttavia, ha avvertito che i responsabili dell'operazione potrebbero adottare rapidamente nuovi strumenti dopo la rimozione di una parte della loro infrastruttura.
La backdoor x.cpe rimane incorporata nel firmware interessato e ritorna dopo il riavvio del dispositivo, il che significa che i proprietari non possono rimuoverla definitivamente da soli. TrendAI ha affermato che la bonifica richiede un intervento del fornitore, protezioni della piattaforma più solide o la sostituzione dell'hardware. Plume raccomanda un ripristino completo alle impostazioni di fabbrica perché potrebbero essere state installate ulteriori backdoor, pur non confermando che il ripristino rimuova x.cpe. Synthient consiglia ai consumatori di smaltire i dispositivi interessati.
Synthient ha pubblicato un elenco di 182 nomi di modelli associati alla campagna, avvertendo tuttavia che il solo nome di un modello non dimostra l'infezione. La sua indagine si è concentrata sui dispositivi a marchio MECOOL collegati a Videostrong, tra cui un MECOOL KM9PRO Max sul quale ha trovato la backdoor preinstallata. Plume ha identificato più di una dozzina di dispositivi che comunicavano con il server di controllo della botnet, la maggior parte dei quali era di marca MECOOL.
Per le organizzazioni, Synthient raccomanda di identificare i dispositivi potenzialmente interessati utilizzando i propri indicatori, scollegarli e smaltirli, bloccare i domini e gli indirizzi IP di controllo elencati e separare gli altri dispositivi intelligenti dai sistemi sensibili mediante la segmentazione della rete. TrendAI consiglia inoltre alle aziende con dipendenti da remoto di considerare i dispositivi consumer non gestiti presenti sulle reti domestiche come parte della propria superficie di attacco e di richiedere dispositivi gestiti per l'accesso aziendale.
Google ha affermato che tra le prove che collegano Videostrong all'operazione vi era la capacità della backdoor di trasferire le impostazioni dai server di comando e controllo ad altre applicazioni Videostrong, incluso il suo YokaTV Player. Un account GitHub che ospitava pacchetti della botnet utilizzava il nome yf-videostrong. Synthient ha citato un documento firmato dal direttore della ricerca e sviluppo di Videostrong e una sovrapposizione tra un dominio web di Videostrong e l'indirizzo IP del pannello di controllo degli operatori. Plume ha inoltre rilevato che Videostrong forniva sia il firmware dei dispositivi sia gli strumenti di gestione remota.
Secondo Google, Videostrong nascondeva il codice dannoso per aggirare i controlli di compatibilità e sicurezza dei dispositivi Android certificati, caricandolo dopo l'avvio iniziale del dispositivo. Da allora Google ha modificato il proprio processo di revisione e sta migliorando i controlli del firmware per i prodotti Android TV certificati.
Google ha bandito Videostrong, così come qualsiasi futura controllata o affiliata, dalla produzione o vendita di dispositivi Android certificati e dalla fornitura di software ad altri produttori di dispositivi certificati. Al 2 novembre, il sito web di Videostrong elencava ancora prodotti descritti come Google Certified Android TV Box e Google Certified Android TV Stick. Plume ha affermato che la botnet ha colpito sia dispositivi certificati da Google sia prodotti che utilizzavano software Android Open Source Project, sebbene Google non abbia rivelato quanti dispositivi certificati fossero coinvolti.
Fonti: The Hacker News.