Google ha smantellato una botnet composta da oltre 1,3 milioni di dispositivi Android, sui quali era stata inserita la backdoor denominata XCPE. L’azienda ha spiegato che il malware era stato deliberatamente installato da Videostrong Technology sui propri set-top box per monetizzare l’accesso venduto ai cybercriminali.
Videostrong Technology, produttore cinese di dispositivi Android che aveva ricevuto la licenza per l’uso dei servizi Google, aveva creato, distribuito e gestito la botnet. L’operazione è stata condotta in collaborazione con la National Police Agency del Giappone, Lumen, HUMAN Security, Plume, Synthient e TrendAI.
Una backdoor incorporata nel firmware
La backdoor era stata installata direttamente nel firmware durante la produzione dei set-top box e non poteva essere rimossa. La sua funzione principale era stabilire una connessione con un server C2 (command and control), permettendo ai cybercriminali di inviare comandi remoti e installare moduli aggiuntivi.
Attraverso questo canale era possibile scaricare file APK, disattivare Google Play Protect, eseguire script, catturare screenshot e raccogliere informazioni sui dispositivi, fra cui account, tipo di dispositivo e elenco delle app installate. Il server C2 forniva anche i moduli per la monetizzazione e quelli destinati ai servizi di proxy residenziali.
Frode pubblicitaria e traffico mascherato
I cybercriminali affiliati installavano moduli aggiuntivi per frodi pubblicitarie e per trasformare i dispositivi in proxy residenziali. Questi ultimi servivano a nascondere la reale provenienza del traffico illecito. I moduli per la monetizzazione consentivano invece di generare false interazioni pubblicitarie.
Videostrong Technology aveva monetizzato la backdoor XCPE vendendo l’accesso ai cybercriminali affiliati. I cybercriminali potevano inoltre installare altre backdoor sui dispositivi compromessi, estendendo le capacità dell’infrastruttura sotto il loro controllo.
La revoca della licenza Android
Prima di smantellare l’infrastruttura gestita da Videostrong, Google ha ottenuto l’autorizzazione di un giudice. Al termine dell’operazione, l’azienda ha revocato la licenza Android al produttore cinese.
Gli utenti che hanno acquistato un set-top box di Videostrong dovrebbero installare un firmware pulito, se esiste, oppure disconnettere il dispositivo da Internet. La soluzione migliore è acquistare solo prodotti certificati.
I set-top box o Android TV box economici vengono spesso utilizzati per creare una botnet. In tutti i casi scoperti finora, i dispositivi erano venduti da produttori cinesi che non hanno ricevuto la certificazione Play Protect.
