Google ha rivelato che uno dei suoi partner produttivi Android, la cinese Videostrong Technology Co. con sede a Shenzhen, ha segretamente inserito una backdoor in 1,3 milioni di dispositivi trasformandoli in una botnet. L'azienda di Mountain View ha dichiarato di aver smantellato il meccanismo e di aver interrotto ogni rapporto con il produttore, ora bandito dalla realizzazione e vendita di dispositivi Android certificati e dalla fornitura di software per essi.
Come funzionava l'attacco
I dispositivi infetti venivano usati all'insaputa dei proprietari per attività malevole come frodi pubblicitarie, esfiltrazione di dati e instradamento di traffico di rete non autorizzato. Google sostiene che la backdoor e la botnet siano state «intenzionalmente sviluppate, distribuite e gestite per profitto finanziario». Videostrong monetizzava vendendo l'accesso ad affiliati criminali e caricando i loro moduli malware sui device compromessi.
Questi moduli secondari eseguivano frodi pubblicitarie, iscrivevano silenziosamente i dispositivi infetti in reti proxy residenziali e caricavano ulteriore malware. Google ha anche agito per interrompere i domini di comando e controllo (C2) che gestivano questi moduli affiliati, stimando che tale azione abbia reciso l'accesso ad almeno 10 milioni di dispositivi compromessi aggiuntivi.
Non solo set-top box
L'impatto non ha riguardato un solo modello: il malware è stato trovato «integrato direttamente in molti modelli e marchi diversi nel corso di più anni». La maggior parte erano set-top box Android TV, ma la botnet ha infettato anche altri dispositivi IoT basati su Android, tra cui dispositivi di telemedicina, macchine per il karaoke e cartellonistica digitale.
Secondo Google, Videostrong utilizzava «tecniche di offuscamento» per caricare il malware sui dispositivi degli utenti dopo il primo avvio dell'hardware. A seguito dell'incidente, l'azienda ha annunciato modifiche al proprio processo di revisione per i produttori di dispositivi, nel tentativo di prevenire casi simili in futuro.
