Android TV: Google smantella botnet su 1,3 milioni di box

Google ha interrotto la collaborazione con Videostrong Technology Co., azienda cinese con sede a Shenzhen, dopo aver scoperto che aveva preinstallato un backdoor su 1,3 milioni di set-top box Android TV. Il software malevolo veniva sfruttato per attività fraudolente legate alla pubblicità e per creare reti proxy illegali.

Google ha smantellato il backdoor, identificato come XCPE (conosciuto anche come x.cpe o com.oemservice), che operava con i privilegi di sistema android.uid.system. Una caratteristica particolare del malware era la sua capacità di reinstallarsi automaticamente al riavvio del dispositivo, poiché risiedeva nella partizione firmware /oem/. Questo lo rendeva parte integrante del sistema operativo e non una semplice applicazione scaricata dall’utente.

Android TV: perché è importante

Secondo Google, l’operazione è stata intenzionale e sviluppata nel corso di anni a scopo di lucro. Videostrong vendeva l’accesso al backdoor a terzi, che sfruttavano i dispositivi infetti per diverse attività illecite: frodi pubblicitarie, iscrizioni silenziose a reti di proxy residenziali, distribuzione di ulteriore malware ed esfiltrazione di dati sensibili come informazioni sugli account utente, elenco delle applicazioni installate e log di sistema.

Google ha identificato diversi marchi e modelli coinvolti nel corso degli anni, con tecniche di offuscamento progettate per eludere i test di certificazione e attivarsi solo dopo il primo avvio del dispositivo da parte dell’utente finale. Tra i brand citati figura Mecool, noto produttore di box Android TV e Google TV, che secondo alcune indiscrezioni sarebbe in fase di chiusura.

L’ambito dei dispositivi compromessi non si limita ai decoder televisivi: Google cita anche apparecchiature per la telemedicina, macchine per il karaoke e sistemi di digital signage basati su Android. Per disattivare la rete botnet XCPE, Google ha agito legalmente contro i domini e i server utilizzati per controllarla, disabilitando l’infrastruttura di comando di oltre una dozzina di famiglie malware distribuite come moduli secondari.

L’azienda stima che questa azione abbia interrotto l’accesso ad almeno altri 10 milioni di dispositivi compromessi, raggiunti dagli stessi affiliati criminali attraverso canali di distribuzione paralleli. All’operazione hanno collaborato diverse entità tra cui l’Agenzia di polizia nazionale giapponese e le società di sicurezza Lumen, HUMAN Security, Plume, Synthient e TrendAI.

Cosa cambia e quali sono gli effetti

Google ammette implicitamente una falla nel proprio processo di certificazione: “Un produttore che infetta intenzionalmente i propri utenti con malware rappresenta una violazione inaccettabile della fiducia”, ha dichiarato l’azienda. Google sottolinea come gli utenti colpiti siano stati utilizzati, a loro insaputa e senza il loro consenso, come un “meccanismo di distribuzione” per una vasta gamma di attori criminali. Di conseguenza, Google ha annunciato la revisione delle proprie procedure di verifica dei produttori, con controlli più rigorosi sull’integrità del firmware per i dispositivi Android TV certificati.

Nonostante l’intervento di Google, rimane un problema significativo: chi ha già acquistato uno di questi box non dispone di un metodo semplice per determinare se il proprio dispositivo è stato compromesso. La disattivazione dei domini di comando rende il backdoor inattivo nell’immediato, ma il codice malevolo resta fisicamente incorporato nel firmware. Pertanto, per chi acquista decoder Android economici da marchi poco noti, l’etichetta “Google certificato” non rappresenta una garanzia assoluta di sicurezza.

Fonte e approfondimento su Android TV: articolo originale.

* Contenuto realizzato con l'ausilio di sistemi di intelligenza artificiale.