Google prohíbe a Videostrong tras que 1.3 millones de dispositivos Android formaran una botnet

Google ha anunciado que ha desmantelado una botnet compuesta por más de 1.3 millones de dispositivos Android y ha "cortado los lazos" con el fabricante, Videostrong Technology Co., con sede en Shenzhen. La compañía afirma que el fabricante "intencionalmente" secuestró sus dispositivos con malware para realizar actividades maliciosas con fines de lucro.

La Operación de la Botnet

Los dispositivos infectados, que incluyen receptores de TV Android, equipos de telemedicina, máquinas de karaoke y dispositivos de señalización digital, fueron utilizados sin el conocimiento de los propietarios. Según Google, los dispositivos se utilizaron para "fraude publicitario, exfiltración de datos y enrutamiento de tráfico de red no autorizado".

El Grupo de Inteligencia de Amenazas de Google declaró: "Evalúamos con alta confianza que la puerta trasera y la botnet fueron desarrolladas, desplegadas y operadas intencionalmente con fines de lucro por Videostrong Technology". La compañía afirma que Videostrong monetizó la puerta trasera vendiendo acceso a afiliados criminales, quienes luego cargaron módulos de malware en los dispositivos. Estos módulos se utilizaron para realizar fraude publicitario, inscribir silenciosamente los dispositivos en redes de proxies residenciales y cargar malware adicional en los dispositivos comprometidos por XCPE.

TrendAI, una unidad empresarial de Trend Micro, informó que entre el 3 de junio y el 1 de octubre, contabilizó 1,472,554 dispositivos infectados en 206 modelos. TrendAI también registró más de 3.8 millones de direcciones IP residenciales y móviles distintas conectadas a la operación durante ese período.

Detalles Técnicos y Atribución

La puerta trasera, rastreada como x.cpe, funcionaba como una aplicación del sistema dentro del firmware con privilegios de nivel de sistema. Según el análisis de Google, el malware se comunicaría con servidores de comando y control (C2) y esperaría instrucciones. Una vez activo, podía desactivar las verificaciones de escaneo de aplicaciones en Google Play Protect para instalar software silenciosamente, capturar capturas de pantalla, mapear redes locales y abrir conchas inversas para acceso remoto a la línea de comandos.

Varias entidades ayudaron en la eliminación, incluyendo la Agencia Nacional de Policía de Japón y las empresas de seguridad Lumen, HUMAN Security, Plume, Synthient y TrendAI. La evidencia para la atribución a Videostrong incluye:

• Un documento firmado por el director de investigación y desarrollo de Videostrong encontrado en un servidor de la botnet.
• Un dominio web de Videostrong que comparte una dirección IP con el panel de control de los operadores.
• Una cuenta de GitHub que aloja paquetes de la botnet registrados como "yf-videostrong".
• Plume identificó que el fabricante proporcionaba tanto el firmware como las herramientas de gestión remota de los dispositivos.

Consecuencias y Remediación

Google ha prohibido permanentemente a Videostrong construir o vender cualquier dispositivo Android certificado y proporcionar software para la plataforma Android. Google espera que esta acción corte al menos 10 millones adicionales de dispositivos comprometidos operados por afiliados.

La remediación se señala como difícil porque la puerta trasera x.cpe está firmada en el firmware con la clave del fabricante; se reinstala después de que un dispositivo se reinicia. Mientras que Plume sugiere un reinicio de fábrica completo, Synthient ha aconsejado a los consumidores desechar permanentemente las cajas afectadas. TrendAI declaró que la limpieza requiere "acción del proveedor, protección de la plataforma o reemplazo del dispositivo".

Fuentes (en inglés)

• theverge.com: One of Google’s Android partners turned 1.3 million set-top boxes into a botnet | The Verge
• techbuzz.ai: Google Bans Partner After 1.3M Android Boxes Turned Botnet | The Tech Buzz
• finance.biggo.com: Google Cuts Off 1.3 Million Android TV Boxes From Botnet, Bans Maker Videostrong — BigGo Finance

Traducción con IA del artículo original en inglés, revisada automáticamente para que diga lo mismo que el original. Las fuentes fueron verificadas en inglés.