Google affirme avoir mis hors service x.cpe, un botnet qui, à son apogée, était actif sur plus de 1,3 million d’appareils Android TV. Les boîtiers concernés étaient certifiés par Google, et beaucoup étaient commercialisés sous la marque MECOOL par Videostrong Technology, une entreprise basée à Shenzhen, selon le Threat Intelligence Group de Google.
Google a déclaré que ses contrôles de certification n’avaient pas détecté le malware en raison de techniques d’obfuscation. Au lieu d’apparaître comme un logiciel malveillant pendant la certification, les appareils compromis utilisaient une porte dérobée pour installer des malwares à distance après leur configuration et leur connexion à Internet.
Une fois connectés, les boîtiers communiquaient avec un opérateur par l’intermédiaire d’une petite application appelée x.cpe ou com.oemservice. L’application ne contenait pas elle-même de fonctions malveillantes, mais disposait d’autorisations au niveau du système qui lui permettaient d’installer des modules supplémentaires. Elle désactivait également Google Play Protect, qui aurait autrement pu détecter ces paquets.
Le malware aurait évolué, passant d’un simple dropper à une plateforme en trois étapes qui offrait un accès à des tiers. Google a constaté que de nombreux appareils infectés servaient de proxys résidentiels pour acheminer d’importants volumes de trafic ou commettre des fraudes publicitaires. Videostrong disposait également d’un accès étendu aux boîtiers, notamment de la possibilité d’exécuter des commandes dans un terminal, de capturer des écrans et d’inspecter d’autres appareils sur les réseaux locaux. Google a déclaré avoir observé l’entreprise exercer cet accès en temps réel.
Google affirme avoir rompu ses liens avec l’entreprise à l’origine de la campagne.
Sources: Ars Technica.