Google ha desarticulado una operación delictiva que utilizaba puertas traseras instaladas de fábrica en más de 1,3 millones de dispositivos, según la empresa. El fabricante había incorporado el malware en la partición del sistema, en lugar de que este se introdujera mediante una vulnerabilidad de seguridad expuesta accidentalmente o una aplicación instalada por el usuario.
La operación involucraba a Videostrong, que ensamblaba dispositivos y suministraba software para cientos de modelos vendidos a nivel internacional. Los dispositivos estaban configurados para conectarse a servidores externos de comando y control en cuanto se conectaban a internet.
El componente malicioso, identificado como XCPE, desactivaba las comprobaciones de integridad y Google Play Protect. Entonces, los dispositivos infectados podían incorporarse a una botnet sin que se apreciaran efectos evidentes en la reproducción de vídeo. Sus recursos informáticos y sus conexiones residenciales a internet se vendían a terceros y se utilizaban para tráfico de proxy, visualizaciones automatizadas de anuncios y recopilación no autorizada de datos.
Google afirma que cerró los dominios centrales utilizados para enviar órdenes a la red, lo que cortó el acceso directo a más de 10 millones de dispositivos comprometidos. También retiró las licencias oficiales e impidió que Videostrong y las empresas asociadas fabricaran más dispositivos certificados para su sistema.
El cierre no elimina el malware de los dispositivos que ya están en uso. Como el código está almacenado en la partición raíz de la memoria flash, restablecer la configuración de fábrica no lo eliminará y el servicio volverá a funcionar tras reiniciar el dispositivo. Aunque medidas externas han bloqueado las comunicaciones con los dominios maliciosos, los dispositivos siguen siendo técnicamente vulnerables.
Fuentes: Pplware.