O Google interrompeu uma operação criminosa que usava backdoors instalados de fábrica em mais de 1,3 milhão de dispositivos, segundo a empresa. O malware era incorporado à partição do sistema pelo fabricante, em vez de ser introduzido por uma falha de segurança exposta acidentalmente ou por um aplicativo instalado pelo usuário.
A operação envolvia a Videostrong, que montava dispositivos e fornecia software para centenas de modelos vendidos internacionalmente. Os aparelhos eram configurados para se conectar a servidores externos de comando e controle assim que eram conectados à internet.
O componente malicioso, identificado como XCPE, desativava as verificações de integridade e o Google Play Protect. Em seguida, os dispositivos infectados podiam integrar uma botnet sem efeitos evidentes na reprodução de vídeos. Seus recursos computacionais e conexões residenciais à internet eram vendidos a terceiros e usados para tráfego de proxy, visualizações automatizadas de anúncios e coleta não autorizada de dados.
O Google afirma ter desativado os domínios centrais usados para enviar comandos à rede, cortando o acesso direto a mais de 10 milhões de dispositivos comprometidos. Também retirou as licenças oficiais e proibiu a Videostrong e as empresas associadas de produzir novos dispositivos certificados para seu sistema.
O desligamento não remove o malware dos aparelhos que já estão em uso. Como o código fica armazenado na partição raiz da memória flash, a restauração de fábrica não o elimina, e o serviço volta após uma reinicialização. Embora medidas externas tenham bloqueado as comunicações com os domínios maliciosos, os dispositivos continuam tecnicamente vulneráveis.
Fontes: Pplware.