Google afferma di aver smantellato x.cpe, una botnet che al suo apice operava su oltre 1,3 milioni di dispositivi Android TV. Secondo il Threat Intelligence Group di Google, i box interessati erano certificati da Google e molti erano venduti con il marchio MECOOL da Videostrong Technology, con sede a Shenzhen.
Google ha dichiarato che i controlli di certificazione non avevano rilevato il malware a causa di tecniche di offuscamento. Invece di apparire come software dannoso durante la certificazione, i dispositivi compromessi utilizzavano una backdoor per installare malware da remoto dopo essere stati configurati e connessi a Internet.
Una volta online, i box contattavano un operatore tramite una piccola applicazione chiamata x.cpe o com.oemservice. L’app non conteneva funzioni dannose, ma disponeva di autorizzazioni a livello di sistema che le consentivano di installare moduli aggiuntivi. Inoltre disattivava Google Play Protect, che altrimenti avrebbe potuto rilevare quei pacchetti.
A quanto riferito, il malware si è evoluto da un semplice dropper a una piattaforma in tre fasi che offriva accesso a terze parti. Google ha rilevato che molti dispositivi infetti venivano usati come proxy residenziali per instradare grandi volumi di traffico o commettere frodi pubblicitarie. Videostrong aveva inoltre ampio accesso ai box, inclusa la possibilità di eseguire comandi da terminale, acquisire schermate e ispezionare altri dispositivi sulle reti locali. Google ha dichiarato di aver osservato l’azienda esercitare tale accesso in tempo reale.
Google afferma di aver interrotto i rapporti con l’azienda responsabile della campagna.
Fonti: Ars Technica.