O Google afirma que tomou medidas legais em conjunto com parceiros do setor para desmantelar a botnet XCPE, que havia inscrito mais de 1,3 milhão de aparelhos decodificadores de TV Android. Os dispositivos vinham com um software malicioso que disponibilizava as conexões de internet dos usuários para serviços de proxy residencial e ajudava a viabilizar fraudes publicitárias, segundo um relatório do Google Threat Intelligence Group (GTIG).
O GTIG afirmou que rompeu os vínculos com a Videostrong Technology, fabricante chinesa de caixas de TV que, segundo a empresa e outros especialistas, era responsável pela instalação do malware. O Google também agiu contra domínios e servidores usados para controlar a botnet e instalar software malicioso adicional nos dispositivos infectados.
Os proxies residenciais permitem que os clientes encaminhem o tráfego da web por meio dos endereços de internet de outras pessoas, o que pode ocultar sua identidade ou localização aparente. O GTIG afirmou que a Videostrong vendeu acesso aos dispositivos comprometidos a afiliados criminosos, que poderiam usá-los para distribuir outros malwares. O relatório descreve essa prática como uma grave quebra de confiança dos usuários, pois os dispositivos eram usados sem o conhecimento ou consentimento de seus proprietários.
As caixas de TV representavam a maior parte da botnet, mas o GTIG também encontrou o malware XCPE em outros produtos conectados à internet baseados em Android, incluindo dispositivos de telessaúde, máquinas de karaokê e sistemas de sinalização digital. O Google afirmou que os fabricantes de dispositivos precisam passar por testes de compatibilidade e segurança, mas que a Videostrong havia encontrado uma maneira de instalar seu software durante a primeira inicialização de um dispositivo. Segundo o Google, essa vulnerabilidade já foi corrigida.
Segundo o GTIG, espera-se que a ação contra a botnet corte o acesso da XCPE a pelo menos outros 10 milhões de dispositivos comprometidos. O grupo alertou que os afiliados dispunham de canais de distribuição além da XCPE, enquanto Ben Brundage, fundador da Synthient, descreveu o número divulgado de 1,3 milhão de dispositivos como uma estimativa conservadora.
O Google agradeceu à Synthient e a outros parceiros do setor pelo trabalho realizado para desmantelar a botnet. Separadamente, a Synthient informou ter encontrado componentes de malware e proxy da Videostrong em uma caixa de TV MECOOL previamente infectada. Seu relatório também associou o malware a serviços de proxy, incluindo AppSalt, também conhecido como Honeygain, e Grass. O relatório do GTIG citou vários outros provedores de proxy cujos kits de desenvolvimento de software foram baixados por dispositivos infectados, incluindo EarnFM, Traffmonetizer, Jaguar, LINKFOG, BMW/IPWeb e GaGaNode.
Fontes: Krebs on Security.