Il Threat Intelligence Group di Google ha annunciato lo smantellamento della botnet XCPE, un'infrastruttura malware che aveva infettato oltre 1,3 milioni di dispositivi Android TV in tutto il mondo. L'operazione, condotta con partner internazionali, ha neutralizzato i server di comando e controllo che inviavano ordini ai dispositivi infetti, interrompendo le attività criminali. Ma il dettaglio più inquietante riguarda l'origine dell'infezione: la backdoor non è stata opera di hacker esterni, bensì della stessa azienda produttrice dell'hardware.
Una truffa lungo la catena di fornitura
Secondo il report di Google, la responsabile è la cinese Videostrong Technology Co., produttore OEM con sede a Shenzhen che realizza box Android TV e dispositivi IoT, anche certificati Google, venduti a terzi o ribrandizzati come MECOOL, l'unico marchio esplicitamente citato. A differenza dei consueti casi di sicurezza in cui i criminali sfruttano vulnerabilità del codice, Videostrong avrebbe deliberatamente integrato il codice malevolo nel firmware di fabbrica. La backdoor si attivava di nascosto dopo la prima accensione, eludendo i controlli di integrità di Google.
Una volta attivi, i box entravano nella botnet XCPE e i suoi gestori vendevano l'accesso ad affiliati criminali per generare profitti illeciti: dalla funzione proxy per instradare traffico illecito alla riproduzione in background di annunci pubblicitari, fino alla generazione di visite verso siti internet. Tramite il command and control, i malintenzionati potevano scattare screenshot, rubare dati di sistema e installare ulteriori applicazioni malevole. Oltre ai box Android TV, tra i dispositivi colpiti figurano player per digital signage, dispositivi per karaoke e per la telemedicina.
Bando a tempo indeterminato e nuove difese
L'intervento ha permesso di recidere il contatto con i dispositivi infetti, ma l'azione sui server non cancella la backdoor presente nel codice base dei dispositivi già acquistati e presenti nelle case degli utenti. La reazione di Google è stata drastica: bando totale e a tempo indeterminato di Videostrong, e di qualsiasi sua futura controllata, dalla produzione o certificazione di dispositivi Android e dalla distribuzione di software ai partner ufficiali. L'azienda ha inoltre aggiornato i protocolli di test e scansione automatizzata del firmware per rilevare modifiche malevole successive alla prima configurazione.
«I proxy residenziali sono un'area di rischio poco studiata per i consumatori e si può fare di più per aumentare la consapevolezza», scrive Google nel rapporto. «I consumatori dovrebbero essere estremamente diffidenti nei confronti delle applicazioni che offrono il pagamento in cambio di banda non utilizzata o condivisione di Internet». L'invito è ad attenersi agli app store affidabili, rivedere le autorizzazioni per VPN e proxy di terze parti, mantenere attivo Google Play Protect e scegliere prodotti solo dei partner ufficiali.
