O Google interrompeu uma botnet envolvendo mais de 1,3 milhão de dispositivos Android, a maioria deles aparelhos de TV, depois de tomar medidas judiciais contra os domínios e servidores usados para controlar a rede no fim de outubro.
A empresa afirma ter um alto grau de confiança de que a fabricante de dispositivos sediada em Shenzhen, Videostrong, incorporou deliberadamente uma porta dos fundos chamada x.cpe em numerosos modelos e marcas ao longo de vários anos e, depois, vendeu o acesso a operadores criminosos. O Google disse que a atividade não parecia ser resultado de um invasor interno isolado nem de uma falha acidental de software.
A porta dos fundos funciona como um aplicativo do sistema dentro do firmware e possui privilégios no nível do sistema. Ela pode se comunicar com servidores de comando e controle, instalar aplicativos sem o conhecimento do proprietário, executar comandos, capturar telas e mapear a rede local. Para permitir instalações silenciosas, primeiro desativa as verificações de aplicativos do Google Play Protect.
O Google disse ter observado operadores usando o acesso para capturar imagens de tela ao vivo, registrar teclas digitadas, coletar informações de contas, dados dos dispositivos, listas de aplicativos e registros do sistema, além de abrir shells reversos para acesso remoto à linha de comando. Os módulos criminosos principalmente transformavam os dispositivos em proxies residenciais ou vendiam sua largura de banda não utilizada. Outros componentes eram usados para falsificar visualizações de publicidade online.
O hardware afetado não se limitava a aparelhos Android TV. A porta dos fundos também foi encontrada em equipamentos de telemedicina, máquinas de karaokê e sinalização digital. A TrendAI contabilizou 1.472.554 dispositivos infectados em 206 modelos entre 3 de junho e 1º de outubro, observando que o número real poderia ser maior. Malásia, Brasil, Iraque, México e Taiwan registraram os maiores números, enquanto Estados Unidos, Alemanha, Reino Unido, Austrália e Canadá tinham, cada um, aproximadamente de 26.000 a 42.000 dispositivos afetados.
Como parte da operação, o Google também derrubou domínios de controle associados a mais de uma dúzia de famílias de malware distribuídas por meio da porta dos fundos. A Agência Nacional de Polícia do Japão, a Lumen, a HUMAN Security, a Plume, a Synthient e a TrendAI contribuíram para a investigação e a interrupção.
O Google espera que a ação bloqueie o acesso dos criminosos a pelo menos 10 milhões de dispositivos infectados adicionais, porque os mesmos operadores distribuíram malware por outros canais. No entanto, alertou que os responsáveis pela operação podem rapidamente adotar novas ferramentas depois que parte da infraestrutura for removida.
A porta dos fundos x.cpe permanece incorporada no firmware afetado e retorna após a reinicialização do dispositivo, o que significa que os proprietários não podem removê-la permanentemente por conta própria. A TrendAI disse que a limpeza exige uma ação do fornecedor, proteções mais fortes da plataforma ou a substituição do hardware. A Plume recomenda uma restauração completa de fábrica porque outras portas dos fundos podem ter sido instaladas, embora não confirme que a restauração remova a x.cpe. A Synthient aconselha os consumidores a descartar os dispositivos afetados.
A Synthient publicou uma lista de 182 nomes de modelos associados à campanha, alertando que o nome de um modelo, por si só, não prova a infecção. Sua investigação se concentrou em dispositivos da marca MECOOL ligados à Videostrong, incluindo um MECOOL KM9PRO Max no qual encontrou a porta dos fundos pré-instalada. A Plume identificou mais de uma dúzia de dispositivos se comunicando com o servidor de controle da botnet, a maioria deles da MECOOL.
Para as organizações, a Synthient recomenda identificar dispositivos potencialmente afetados usando seus indicadores, desconectá-los e descartá-los, bloquear os domínios de controle e endereços IP listados e separar outros dispositivos inteligentes dos sistemas sensíveis por meio da segmentação de rede. A TrendAI também aconselha empresas com trabalhadores remotos a tratar dispositivos de consumidores não gerenciados em redes domésticas como parte de sua superfície de ataque e a exigir dispositivos gerenciados para o acesso corporativo.
O Google disse que as evidências que ligavam a Videostrong à operação incluíam a capacidade da porta dos fundos de transmitir configurações dos servidores de comando e controle para outros aplicativos da Videostrong, incluindo seu YokaTV Player. Uma conta no GitHub que hospedava pacotes da botnet usava o nome yf-videostrong. A Synthient citou um documento assinado pelo diretor de pesquisa e desenvolvimento da Videostrong e uma sobreposição entre um domínio web da Videostrong e o endereço IP do painel de controle dos operadores. A Plume também descobriu que a Videostrong fornecia tanto o firmware dos dispositivos quanto as ferramentas de gerenciamento remoto.
Segundo o Google, a Videostrong ocultou o código malicioso para contornar as verificações de compatibilidade e segurança de dispositivos Android certificados, carregando-o depois da inicialização inicial do dispositivo. Desde então, o Google alterou seu processo de análise e está aprimorando as verificações de firmware para produtos Android TV certificados.
O Google baniu a Videostrong, bem como quaisquer futuras subsidiárias ou afiliadas, da produção ou venda de dispositivos Android certificados e do fornecimento de software a outros fabricantes de dispositivos certificados. Em 2 de novembro, o site da Videostrong ainda listava produtos descritos como Google Certified Android TV Box e Google Certified Android TV Stick. A Plume disse que a botnet afetou tanto dispositivos certificados pelo Google quanto produtos que executavam software do Android Open Source Project, embora o Google não tenha divulgado quantos dispositivos certificados estavam envolvidos.
Fontes: The Hacker News.