Google démantèle le botnet x.cpe sur 1,3 million d'appareils Android TV

En bref

Google a mis hors service le botnet x.cpe, qui fonctionnait sur plus de 1,3 million d'appareils Android TV certifiés à son apogée.
Google a identifié l'origine du botnet chez Videostrong Technology, basée à Shenzhen, et a mis fin à sa relation avec l'entreprise.
Le malware a désactivé Play Protect et a permis aux opérateurs d'exécuter des commandes, de capturer des écrans et d'explorer les réseaux locaux.
Trend Micro a comptabilisé 1 472 554 appareils infectés, principalement au Brésil, en Malaisie, en Irak, au Mexique et à Taïwan.

Le groupe de renseignement sur les menaces de Google indique qu'il a mis hors service un botnet appelé x.cpe qui fonctionnait sur plus de 1,3 million d'appareils Android TV à son apogée. Les appareils étaient certifiés par Google, et Google affirme que son processus de vérification a manqué le malware en raison des techniques d'obfuscation utilisées par Videostrong Technology, basée à Shenzhen.

Comment fonctionnait le botnet

Une fois les appareils connectés, une application « stub » appelée x.cpe ou com.oemservice renvoyait des informations. Le package ne possédait pas de capacités malveillantes propres, mais détenait des permissions au niveau du système pour installer des modules de malware à la demande de l'opérateur. Il désactivait également Play Protect, qui aurait autrement signalé les packages installés silencieusement.

Google a constaté que la plupart des boîtiers utilisaient des proxies résidentiels pour router de gros volumes de trafic malveillant ou exécutaient des modules engagés dans des schémas de fraude publicitaire. Videostrong avait également un accès complet aux appareils, permettant aux opérateurs d'exécuter des commandes terminal, de capturer l'écran et d'explorer d'autres appareils sur le réseau local. Google aurait observé Videostrong effectuer ces actions en temps réel.

Mise hors service et conséquences

Google a collaboré avec l'Agence nationale de la police du Japon, Synthient et Trend Micro pour perturber le réseau x.cpe. Il a pris des mesures légales pour mettre hors service les domaines et les serveurs utilisés par Videostrong pour opérer et installer son malware, et a ciblé les serveurs de commande et de contrôle connectés à d'autres campagnes de malware. Google estime que Videostrong a été coupé d'environ 10 millions d'appareils compromis.

Google a déterminé que l'opération n'était pas l'œuvre d'un acteur malveillant indépendant, il a donc mis fin à sa relation avec Videostrong. L'entreprise, ainsi que toutes ses filiales, ne seront pas autorisées à utiliser les applications et services Android de Google.

Google indique qu'il met à jour son processus de certification pour combler la faille qui a permis à Videostrong d'exploiter son botnet sur des appareils certifiés. Play Protect reste désactivé sur les appareils concernés, et les modules de malware inactifs sont toujours installés. Étant donné qu'ils sont chargés en tant qu'applications système, les utilisateurs ne peuvent pas les supprimer facilement.

Échelle et appareils concernés

Trend Micro a comptabilisé un total de 1 472 554 appareils infectés, légèrement plus que l'estimation de Google. La grande majorité se trouvaient au Brésil, en Malaisie, en Irak, au Mexique et à Taïwan, mais des dizaines de milliers étaient également en ligne aux États-Unis, en Allemagne, au Royaume-Uni, en Australie et au Canada. Synthient a publié une liste de 182 noms de modèles d'appareils connus pour être inclus dans le botnet.

Sources (en anglais)

Traduction réalisée par IA de l’article original en anglais, vérifiée automatiquement pour dire la même chose que l’original. Les sources ont été vérifiées en anglais.

How do you feel about this story?

Comments 0

No comments yet. Start the discussion.