Google affirme que l’un de ses partenaires de fabrication Android a intentionnellement intégré une porte dérobée dans 1,3 million d’appareils et les a exploités comme un botnet à des fins financières.
L’entreprise a identifié ce partenaire comme étant Videostrong Technology Co., un fabricant basé à Shenzhen, en Chine. Google indique avoir démantelé la porte dérobée, perturbé les domaines de commande et de contrôle liés à l’opération et mis fin à sa relation avec l’entreprise. Videostrong a également été interdit de fabriquer ou de vendre des appareils Android certifiés, ou de fournir des logiciels pour ces appareils.
Selon Google, les appareils infectés ont été utilisés à l’insu de leurs propriétaires pour des activités comprenant la fraude publicitaire, l’exfiltration de données et l’acheminement de trafic réseau non autorisé. L’entreprise affirme que Videostrong vendait l’accès à la porte dérobée à des affiliés criminels, qui installaient des modules malveillants supplémentaires sur les appareils compromis.
Ces modules auraient intégré les appareils à des réseaux de proxys résidentiels, mené des opérations de fraude publicitaire et diffusé d’autres logiciels malveillants. Google affirme que la perturbation des domaines de commande et de contrôle des affiliés pourrait couper l’accès à au moins 10 millions d’appareils compromis supplémentaires, même si ces affiliés utilisaient également d’autres canaux de distribution.
Le logiciel malveillant ne se limitait pas à un seul produit. Google affirme qu’il avait été intégré directement à plusieurs modèles et marques d’appareils sur plusieurs années. La plupart des appareils concernés étaient des boîtiers Android TV, mais d’autres produits IoT basés sur Android étaient également impliqués, notamment des appareils de télésanté, des machines de karaoké et des systèmes d’affichage numérique.
Google indique que Videostrong utilisait des techniques d’obfuscation pour charger le logiciel malveillant après que les utilisateurs avaient mis le matériel sous tension pour la première fois. À la suite de l’incident, l’entreprise a également modifié son processus d’examen des fabricants d’appareils Android.