Google afirma que ha desmantelado x.cpe, una botnet que, en su punto máximo, operaba en más de 1,3 millones de dispositivos Android TV. Los dispositivos afectados estaban certificados por Google, y muchos se vendieron bajo la marca MECOOL por Videostrong Technology, con sede en Shenzhen, según el Grupo de Inteligencia sobre Amenazas de Google.
Google dijo que sus controles de certificación no detectaron el malware debido a técnicas de ofuscación. En lugar de presentarse como software malicioso durante la certificación, los dispositivos comprometidos utilizaban una puerta trasera para instalar malware de forma remota después de configurarse y conectarse a internet.
Una vez conectados, los dispositivos se comunicaban con un operador mediante una pequeña aplicación llamada x.cpe o com.oemservice. La aplicación no contenía funciones maliciosas en sí misma, pero tenía permisos a nivel de sistema que le permitían instalar módulos adicionales. También desactivaba Google Play Protect, que de otro modo podría haber detectado esos paquetes.
Según se informó, el malware evolucionó de un descargador básico a una plataforma de tres etapas que ofrecía acceso a terceros. Google descubrió que muchos dispositivos infectados se usaban como proxies residenciales para enrutar grandes volúmenes de tráfico o cometer fraude publicitario. Videostrong también tenía amplio acceso a los dispositivos, incluida la capacidad de ejecutar comandos de terminal, capturar pantallas e inspeccionar otros dispositivos en redes locales. Google dijo que observó a la empresa ejercer ese acceso en tiempo real.
Google afirma que ha cortado sus vínculos con la empresa responsable de la campaña.
Fuentes: Ars Technica.