Google ha interrotto un’operazione criminale che utilizzava backdoor installate in fabbrica su oltre 1,3 milioni di dispositivi, secondo quanto dichiarato dall’azienda. Il malware era incorporato nella partizione di sistema dal produttore, anziché essere introdotto tramite una falla di sicurezza esposta accidentalmente o un’app installata dall’utente.
L’operazione coinvolgeva Videostrong, che assemblava dispositivi e forniva software per centinaia di modelli venduti a livello internazionale. I box erano configurati per collegarsi a server esterni di comando e controllo non appena venivano connessi a Internet.
Il componente dannoso, identificato come XCPE, disattivava i controlli di integrità e Google Play Protect. I dispositivi infetti potevano quindi entrare a far parte di una botnet senza causare effetti evidenti sulla riproduzione dei video. Le loro risorse di calcolo e le connessioni Internet residenziali venivano vendute a terzi e utilizzate per il traffico tramite proxy, le visualizzazioni automatizzate di annunci e la raccolta non autorizzata di dati.
Google afferma di aver chiuso i domini centrali utilizzati per inviare comandi alla rete, interrompendo l’accesso diretto a oltre 10 milioni di dispositivi compromessi. Ha inoltre revocato le licenze ufficiali e vietato a Videostrong e alle aziende associate di produrre altri dispositivi certificati per il suo sistema.
La chiusura non rimuove il malware dai box già in uso. Poiché il codice è memorizzato nella partizione root della memoria flash, il ripristino delle impostazioni di fabbrica non lo eliminerà e il servizio tornerà a funzionare dopo un riavvio. Sebbene misure esterne abbiano bloccato le comunicazioni con i domini dannosi, i dispositivi restano tecnicamente vulnerabili.
Fonti: Pplware.