Google a perturbé une opération criminelle qui utilisait des portes dérobées installées en usine sur plus de 1,3 million d’appareils, selon l’entreprise. Le logiciel malveillant était intégré à la partition système par le fabricant, et non introduit à la suite d’une faille de sécurité exposée par inadvertance ou par l’installation d’une application par l’utilisateur.
L’opération impliquait Videostrong, qui assemblait des appareils et fournissait des logiciels pour des centaines de modèles vendus à l’international. Les boîtiers étaient configurés pour se connecter à des serveurs de commande et de contrôle externes dès qu’ils étaient reliés à Internet.
Le composant malveillant, identifié sous le nom de XCPE, désactivait les contrôles d’intégrité et Google Play Protect. Les appareils infectés pouvaient alors rejoindre un botnet sans que la lecture vidéo ne soit visiblement affectée. Leurs ressources informatiques et leurs connexions Internet résidentielles étaient vendues à des tiers et utilisées pour acheminer du trafic via des proxys, générer automatiquement des vues publicitaires et collecter des données sans autorisation.
Google indique avoir fermé les domaines centraux utilisés pour envoyer des commandes au réseau, coupant ainsi l’accès direct à plus de 10 millions d’appareils compromis. L’entreprise a également retiré les licences officielles et interdit à Videostrong et aux sociétés associées de produire d’autres appareils certifiés pour son système.
Cette fermeture ne supprime pas le logiciel malveillant des boîtiers déjà en service. Comme le code est stocké dans la partition racine de la mémoire flash, une réinitialisation aux paramètres d’usine ne l’éliminera pas et le service réapparaîtra après un redémarrage. Bien que des mesures externes aient bloqué les communications avec les domaines malveillants, les appareils restent techniquement vulnérables.
Sources: Pplware.