Google ha smantellato XCPE, una botnet (una rete di dispositivi controllati di nascosto da criminali) che contava oltre 1,3 milioni di dispositivi Android, in gran parte box per la TV. La backdoor, cioè una porta d’accesso segreta, era stata inserita direttamente nel firmware in fabbrica da Videostrong Technology, produttore di Shenzhen che era partner certificato di Google. L’azienda ha revocato la licenza a Videostrong e ha disattivato i server di controllo. La notizia colpisce perché il malware non l’hanno messo hacker esterni, ma chi costruiva i dispositivi.[1][2][3]
In breve
- Google ha smantellato la botnet XCPE: oltre 1,3 milioni di dispositivi Android, per lo più box TV.
- La backdoor era installata in fabbrica da Videostrong, partner certificato, che vendeva l’accesso ad altri criminali.
- Google ha bandito il produttore e stima che il blocco dei server tagli l’accesso ad almeno altri 10 milioni di dispositivi.
- Il codice resta nel firmware dei box già venduti: cosa dicono le fonti a chi ne possiede uno.
Che cosa è successo ai box Android TV?
Cominciamo dai fatti essenziali. Google ha annunciato di aver smantellato, insieme a partner di sicurezza, la botnet XCPE, formata da oltre 1,3 milioni di dispositivi Android, soprattutto set-top box per la TV. All’operazione hanno collaborato la National Police Agency del Giappone e le società Lumen, HUMAN Security, Plume, Synthient e TrendAI. Secondo IlSoftware.it i dispositivi si trovavano in più di 200 Paesi, e il codice malevolo non arrivava da app scaricate dagli utenti: era già nel firmware al momento della vendita.[2][3][4]
Il punto più insolito riguarda chi ha agito. A differenza dei soliti attacchi che sfruttano falle del software, qui la backdoor sarebbe stata inserita deliberatamente dal produttore, la cinese Videostrong Technology, azienda OEM (che costruisce hardware poi venduto con altri marchi) con sede a Shenzhen. Tra i marchi coinvolti, DDay segnala Mecool come l’unico citato esplicitamente da Google. Oltre ai box, il malware è stato trovato in apparecchi per la telemedicina, macchine per il karaoke e schermi per la segnaletica digitale.[5][1][3]
Il cuore del sistema è un pacchetto chiamato x.cpe, che gira con privilegi di sistema e vive nella partizione /oem/ del firmware. Secondo Hardware Upgrade, se un utente o un antivirus lo cancella, al riavvio si ricrea da solo. Secondo Google gli sviluppatori usavano tecniche di offuscamento per superare i test di certificazione, attivando il codice solo dopo la prima accensione da parte dell’acquirente.[1][6]
Una volta attivo, il box era a disposizione degli operatori. Il collegamento con il server di comando permetteva ai criminali di scaricare file APK (le app Android), disattivare Google Play Protect, eseguire script, catturare schermate e raccogliere dati su account e app installate, come riporta Punto Informatico. Videostrong, sempre secondo Google, vendeva questo accesso ad affiliati che caricavano moduli per frodi pubblicitarie e per trasformare i dispositivi in proxy residenziali, cioè punti d’uscita che fanno passare il traffico di terzi dalla connessione domestica della vittima per nasconderne l’origine.[1][2][4]
Cosa ha fatto Google contro Videostrong?
Sul fronte delle contromisure, la reazione è stata netta. Google ha tagliato ogni rapporto con Videostrong, bandendola a tempo indeterminato dalla produzione di dispositivi Android certificati e dalla fornitura di software ad altri partner. Secondo DDay il divieto vale anche per eventuali controllate future. Punto Informatico precisa che l’infrastruttura è stata smantellata dopo l’autorizzazione di un giudice, mentre Hardware Upgrade parla di azioni legali contro domini e server di controllo.[1][2][3]
L’effetto va oltre i 1,3 milioni di box. Spegnere i server ha reso inoffensiva la rete anche per altri canali: Google stima che la mossa tagli l’accesso ad almeno altri 10 milioni di dispositivi compromessi, raggiunti dagli stessi affiliati attraverso vie di distribuzione diverse. A conti fatti, tra i 1,3 milioni di Videostrong e questi 10 milioni, l’operazione riguarda oltre 11 milioni di dispositivi. Google ha anche irrigidito i controlli sull’integrità del firmware per i dispositivi Android TV certificati, ammettendo una lacuna nei propri test.[5][1][6]
Cosa devono fare i proprietari dei box?
Per chi ha già un box in salotto, la domanda è concreta. La disattivazione dei server rende il malware inoffensivo nell’immediato, ma Hardware Upgrade sottolinea che il codice resta nel firmware e che non c’è un modo semplice per sapere se il proprio box sia coinvolto. Punto Informatico riferisce che chi ha un set-top box Videostrong dovrebbe installare un firmware pulito, se esiste, oppure scollegarlo da Internet.[1][2]
Google aggiunge un avvertimento più generale. Nel suo rapporto il Threat Intelligence Group invita a diffidare delle app che pagano in cambio di banda inutilizzata o condivisione di Internet, perché alimentano le reti proxy illecite. Raccomanda di usare solo app store fidati, rivedere le autorizzazioni di VPN e proxy di terze parti e tenere attivo Google Play Protect, oltre a preferire prodotti di partner ufficiali.[3]
In sintesi
Il quadro, in poche righe. La rete XCPE, con oltre 1,3 milioni di dispositivi, è stata spenta quando Google ha colpito server e domini di controllo, e Videostrong è stata esclusa a tempo indeterminato dal programma dei produttori certificati. Il blocco dovrebbe isolare almeno altri 10 milioni di apparecchi collegati agli stessi affiliati. Il rischio immediato è rientrato, ma la backdoor resta nel firmware dei box già venduti: chi ne ha uno Videostrong può cercare un firmware pulito o scollegarlo, mentre Google ha già rafforzato le verifiche sui produttori.[1][2][3]
Fonti
- hwupgrade: Milioni di box Android TV trasformate in zombie digitali: smantellata la botnet, ma rimane un problema
- Punto Informatico: Google smantella una botnet creata da un partner Android
- DDay: Bloccata botnet di 1,3 milioni di box Android TV: il produttore aveva inserito appositamente una backdoor
- IlSoftware.it: Android TV Box infetti di fabbrica: Google scopre chi c’è dietro 1,3 milioni di dispositivi infetti
- TechPrincess: Google scopre una gigantesca botnet Android: dietro l’operazione c’era un suo partner cinese
- smartworld: Il box Android TV certificato da Google che nascondeva un malware al suo interno
Lascia un commento