O Google afirma ter desativado a x.cpe, uma botnet que, no auge, operava em mais de 1,3 milhão de dispositivos Android TV. Os aparelhos afetados eram certificados pelo Google, e muitos foram vendidos com a marca MECOOL pela Videostrong Technology, empresa sediada em Shenzhen, segundo o Threat Intelligence Group do Google.
O Google disse que sua verificação de certificação não detectou o malware devido a técnicas de ofuscação. Em vez de aparecer como software malicioso durante a certificação, os dispositivos comprometidos usavam uma porta dos fundos para instalar malware remotamente depois de configurados e conectados à internet.
Assim que ficavam online, os aparelhos entravam em contato com um operador por meio de um pequeno aplicativo chamado x.cpe ou com.oemservice. O aplicativo não continha funções maliciosas em si, mas tinha permissões no nível do sistema que permitiam instalar módulos adicionais. Também desativava o Google Play Protect, que, de outro modo, poderia ter detectado esses pacotes.
Segundo relatos, o malware evoluiu de um dropper básico para uma plataforma de três etapas que oferecia acesso a terceiros. O Google descobriu que muitos dispositivos infectados eram usados como proxies residenciais para encaminhar grandes volumes de tráfego ou realizar fraudes publicitárias. A Videostrong também tinha amplo acesso aos aparelhos, incluindo a capacidade de executar comandos de terminal, capturar telas e inspecionar outros dispositivos em redes locais. O Google disse ter observado a empresa exercendo esse acesso em tempo real.
O Google afirma ter rompido os vínculos com a empresa por trás da campanha.
Fontes: Ars Technica.