Google proíbe Videostrong após 1,3 milhão de dispositivos Android formarem botnet

Google anunciou que desmantelou uma botnet composta por mais de 1,3 milhão de dispositivos Android e "rompeu laços" com o fabricante, a Shenzhen-based Videostrong Technology Co. A empresa afirma que o fabricante "intencionalmente" sequestrou seus dispositivos com malware para realizar atividades maliciosas com fins de lucro financeiro.

A Operação da Botnet

Os dispositivos infectados, que incluem caixas de TV Android, equipamentos de telemedicina, máquinas de karaokê e dispositivos de sinalização digital, foram utilizados sem o conhecimento dos proprietários. De acordo com a Google, os dispositivos foram usados para "fraude publicitária, exfiltração de dados e roteamento de tráfego de rede não autorizado".

O Grupo de Inteligência de Ameaças da Google afirmou: "Avaliamos com alta confiança que o backdoor e a botnet foram intencionalmente desenvolvidos, implantados e operados para ganho financeiro pela Videostrong Technology". A empresa afirma que a Videostrong monetizou o backdoor vendendo acesso a afiliados criminosos, que então carregaram módulos de malware nos dispositivos. Esses módulos foram usados para realizar fraude publicitária, inscrever silenciosamente dispositivos em redes de proxies residenciais e carregar malware adicional em dispositivos comprometidos pelo XCPE.

A TrendAI, uma unidade empresarial da Trend Micro, relatou que entre 3 de junho e 1 de outubro, contabilizou 1.472.554 dispositivos infectados em 206 modelos. A TrendAI também registrou mais de 3,8 milhões de endereços IP residenciais e móveis distintos conectados à operação durante esse período.

Detalhes Técnicos e Atribuição

O backdoor, rastreado como x.cpe, executava como um aplicativo do sistema dentro do firmware com privilégios de nível do sistema. De acordo com a análise da Google, o malware entraria em contato com servidores de comando e controle (C2) e aguardaria instruções. Uma vez ativo, ele poderia desativar verificações de varredura de aplicativos no Google Play Protect para instalar software silenciosamente, capturar capturas de tela, mapear redes locais e abrir shells reversos para acesso remoto à linha de comando.

Várias entidades auxiliaram no desmantelamento, incluindo a Agência Nacional de Polícia do Japão e as empresas de segurança Lumen, HUMAN Security, Plume, Synthient e TrendAI. Evidências para a atribuição à Videostrong incluem:

• Um documento assinado pelo diretor de pesquisa e desenvolvimento da Videostrong encontrado em um servidor da botnet.
• Um domínio web da Videostrong compartilhando um endereço IP com o painel de controle dos operadores.
• Uma conta GitHub hospedando pacotes da botnet registrados como "yf-videostrong".
• A Plume identificou que o fabricante forneceu tanto o firmware quanto as ferramentas de gerenciamento remoto dos dispositivos.

Consequências e Remediação

Google proibiu permanentemente a Videostrong de construir ou vender qualquer dispositivo Android certificado e de fornecer software para a plataforma Android. A Google espera que essa ação corte pelo menos 10 milhões adicionais de dispositivos comprometidos operados por afiliados.

A remediação é notada como difícil porque o backdoor x.cpe é assinado no firmware com a chave do fabricante; ele se reinstala após um dispositivo ser resetado. Embora a Plume sugira uma formatação de fábrica completa, a Synthient aconselhou os consumidores a descartar as caixas afetadas permanentemente. A TrendAI afirmou que a limpeza requer "ação do fornecedor, proteção da plataforma ou substituição do dispositivo".

Fontes (em inglês)

• theverge.com: One of Google’s Android partners turned 1.3 million set-top boxes into a botnet | The Verge
• techbuzz.ai: Google Bans Partner After 1.3M Android Boxes Turned Botnet | The Tech Buzz
• finance.biggo.com: Google Cuts Off 1.3 Million Android TV Boxes From Botnet, Bans Maker Videostrong — BigGo Finance

Tradução feita com IA do artigo original em inglês, revisada automaticamente para dizer o mesmo que o original. As fontes foram verificadas em inglês.