Google desmantela la botnet x.cpe en 1,3 millones de dispositivos Android TV

En breve

Google desactivó la botnet x.cpe, que se ejecutaba en más de 1,3 millones de dispositivos Android TV certificados en su punto máximo.
Google rastreó la botnet hasta Videostrong Technology, con sede en Shenzhen, y terminó su relación con la empresa.
El malware desactivó Play Protect y permitió a los operadores ejecutar comandos, capturar pantallas y sondear las redes locales.
Trend Micro contó 1.472.554 dispositivos infectados, la mayoría en Brasil, Malasia, Irak, México y Taiwán.

El Grupo de Inteligencia de Amenazas de Google afirma que ha desactivado una botnet llamada x.cpe que se ejecutaba en más de 1,3 millones de dispositivos Android TV en su punto máximo. Los dispositivos estaban certificados por Google, y Google afirma que su proceso de selección pasó por alto el malware debido a las técnicas de ofuscación utilizadas por Videostrong Technology, con sede en Shenzhen.

Cómo funcionaba la botnet

Una vez que los dispositivos se conectaban a internet, una aplicación stub llamada x.cpe o com.oemservice enviaba información a los servidores de control. El paquete no tenía capacidades maliciosas propias, pero tenía permisos a nivel del sistema para instalar módulos de malware a solicitud del operador. También desactivaba Play Protect, lo que de otro modo habría detectado los paquetes instalados silenciosamente.

Google descubrió que la mayoría de los dispositivos estaban ejecutando proxies residenciales para enrutar grandes volúmenes de tráfico malicioso o módulos involucrados en esquemas de fraude publicitario. Videostrong también tenía acceso completo a los dispositivos, lo que permitía a los operadores ejecutar comandos de terminal, capturar la pantalla y sondear otros dispositivos en la red local. Según se informa, Google observó a Videostrong haciendo esto en tiempo real.

Desmantelamiento y consecuencias

Google trabajó con la Agencia Nacional de Policía de Japón, Synthient y Trend Micro para interrumpir la red x.cpe. Tomó medidas legales para desactivar los dominios y servidores que Videostrong utilizaba para operar e instalar su malware, y actuó contra los servidores de comando y control conectados a otras campañas de malware. Google estima que Videostrong ha sido desconectado de aproximadamente 10 millones de dispositivos comprometidos.

Google determinó que la operación no fue obra de un actor desleal, por lo que ha terminado su relación con Videostrong. La empresa, así como cualquier subsidiaria, no estará autorizada a utilizar las aplicaciones y servicios de Android de Google.

Google afirma que está actualizando su proceso de certificación para cerrar la vulnerabilidad que permitió a Videostrong operar su botnet en dispositivos certificados. Play Protect sigue desactivado en los dispositivos afectados, y los módulos de malware inertes siguen instalados. Dado que se cargan como aplicaciones del sistema, los usuarios no pueden eliminarlos fácilmente.

Escala y dispositivos afectados

Trend Micro contó un total de 1.472.554 dispositivos infectados, una cifra ligeramente superior a la estimación de Google. La abrumadora mayoría estaba en Brasil, Malasia, Irak, México y Taiwán, pero decenas de miles también estaban en línea en Estados Unidos, Alemania, el Reino Unido, Australia y Canadá. Synthient ha publicado una lista de 182 nombres de modelos de dispositivos conocidos por estar incluidos en la botnet.

Fuentes (en inglés)

Traducción con IA del artículo original en inglés, revisada automáticamente para que diga lo mismo que el original. Las fuentes fueron verificadas en inglés.

How do you feel about this story?

Comments 0

No comments yet. Start the discussion.