Google interdit Videostrong après que 1,3 million d'appareils Android aient formé un botnet

Google a annoncé avoir démantelé un botnet composé de plus de 1,3 million d'appareils Android et a « rompu les liens » avec le fabricant, Videostrong Technology Co., basée à Shenzhen. L'entreprise indique que le fabricant a « intentionnellement » compromis ses appareils avec un malware pour mener des activités malveillantes dans un but lucratif.

L'opération du botnet

Les appareils infectés, qui incluent des boîtiers Android TV, du matériel de télémédecine, des machines à karaoké et des appareils de signalétique numérique, ont été utilisés sans que les propriétaires en soient informés. Selon Google, ces appareils ont été utilisés pour « la fraude publicitaire, l'exfiltration de données et le routage de trafic réseau non autorisé ».

Le groupe d'intelligence sur les menaces de Google a déclaré : « Nous évaluons avec une grande confiance que la porte dérobée et le botnet ont été développés, déployés et exploités intentionnellement dans un but lucratif par Videostrong Technology. » L'entreprise affirme que Videostrong a monétisé la porte dérobée en vendant l'accès à des affiliés criminels, qui ont ensuite chargé des modules de malware sur les appareils. Ces modules ont été utilisés pour mener des fraudes publicitaires, inscrire silencieusement les appareils dans des réseaux de proxys résidentiels et charger un malware supplémentaire sur les appareils compromis par XCPE.

TrendAI, une unité d'entreprise de Trend Micro, a signalé qu'entre le 3 juin et le 1er octobre, elle avait recensé 1 472 554 appareils infectés répartis sur 206 modèles. TrendAI a également enregistré plus de 3,8 millions d'adresses IP distinctes de domiciles et mobiles connectées à l'opération durant cette période.

Détails techniques et attribution

La porte dérobée, suivie sous le nom x.cpe, fonctionnait comme une application système au sein du firmware avec des privilèges de niveau système. Selon l'analyse de Google, le malware se connectait aux serveurs de commande et de contrôle (C2) et attendait des instructions. Une fois actif, il pouvait désactiver les vérifications de balayage des applications dans Google Play Protect pour installer du logiciel silencieusement, capturer des captures d'écran, cartographier les réseaux locaux et ouvrir des coquilles inversées pour un accès à la ligne de commande à distance.

Plusieurs entités ont aidé à l'arrêt de l'opération, notamment l'Agence nationale de police du Japon et les firmes de sécurité Lumen, HUMAN Security, Plume, Synthient et TrendAI. Les preuves de l'attribution à Videostrong incluent :

• Un document signé par le directeur de la recherche et du développement de Videostrong trouvé sur un serveur de botnet.
• Un domaine web de Videostrong partageant une adresse IP avec le panneau de contrôle des opérateurs.
• Un compte GitHub hébergeant des paquets de botnet enregistrés sous le nom « yf-videostrong ».
• Plume a identifié que le fabricant fournissait à la fois le firmware et les outils de gestion à distance pour les appareils.

Conséquences et remédiation

Google a définitivement interdit à Videostrong de construire ou de vendre tout appareil Android certifié et de fournir du logiciel pour la plateforme Android. Google s'attend à ce que cette action coupe l'approvisionnement d'au moins 10 millions d'appareils supplémentaires compromis exploités par des affiliés.

La remédiation est notée comme difficile car la porte dérobée x.cpe est signée dans le firmware avec la clé du fabricant ; elle se réinstalle après qu'un appareil a été réinitialisé. Bien que Plume suggère une réinitialisation d'usine complète, Synthient a conseillé aux consommateurs de se débarrasser définitivement des boîtiers affectés. TrendAI a indiqué que le nettoyage nécessite « une action du fournisseur, une protection de la plateforme ou le remplacement de l'appareil ».

Sources (en anglais)

• theverge.com: One of Google’s Android partners turned 1.3 million set-top boxes into a botnet | The Verge
• techbuzz.ai: Google Bans Partner After 1.3M Android Boxes Turned Botnet | The Tech Buzz
• finance.biggo.com: Google Cuts Off 1.3 Million Android TV Boxes From Botnet, Bans Maker Videostrong — BigGo Finance

Traduction réalisée par IA de l’article original en anglais, vérifiée automatiquement pour dire la même chose que l’original. Les sources ont été vérifiées en anglais.