Google Desmantela a Botnet x.cpe em 1,3 Milhão de Dispositivos Android TV

O Threat Intelligence Group do Google afirma que desativou uma botnet chamada x.cpe que operava em mais de 1,3 milhão de dispositivos Android TV em seu auge. Os dispositivos eram certificados pelo Google, e o Google afirma que seu processo de triagem não detectou o malware devido às técnicas de ofuscação usadas pela Videostrong Technology, sediada em Shenzhen.

Como a botnet funcionava

Após os dispositivos entrarem online, um aplicativo stub chamado x.cpe ou com.oemservice entrava em contato com o servidor de controle. O pacote não tinha capacidades maliciosas próprias, mas possuía permissões em nível de sistema para instalar módulos de malware sob solicitação do operador. Ele também desativava o Play Protect, que, caso contrário, teria sinalizado os pacotes instalados silenciosamente.

O Google descobriu que a maioria das caixas estava executando proxies residenciais para rotear grandes volumes de tráfego malicioso ou módulos envolvidos em esquemas de fraude publicitária. A Videostrong também tinha acesso total aos dispositivos, permitindo que os operadores executassem comandos de terminal, capturassem a tela e explorassem outros dispositivos na rede local. O Google relatou ter observado a Videostrong fazendo isso em tempo real.

Desativação e consequências

O Google trabalhou com a Agência Nacional de Polícia do Japão, a Synthient e a Trend Micro para interromper a rede x.cpe. Tomou medidas legais para desativar os domínios e servidores que a Videostrong usava para operar e instalar seu malware, e atacou servidores de comando e controle conectados a outras campanhas de malware. O Google estima que a Videostrong foi cortada de cerca de 10 milhões de dispositivos comprometidos.

O Google determinou que a operação não foi obra de um ator desleal, portanto, encerrou seu relacionamento com a Videostrong. A empresa, bem como quaisquer subsidiárias, não será permitida a usar os aplicativos e serviços Android do Google.

O Google afirma que está atualizando seu processo de certificação para fechar a brecha que permitiu à Videostrong operar sua botnet em dispositivos certificados. O Play Protect permanece desativado nos dispositivos afetados, e os módulos de malware inativos ainda estão instalados. Como são carregados como aplicativos do sistema, os usuários não podem removê-los facilmente.

Escala e dispositivos afetados

A Trend Micro contabilizou um total de 1.472.554 dispositivos infectados, um pouco acima da estimativa do Google. A grande maioria estava no Brasil, Malásia, Iraque, México e Taiwan, mas dezenas de milhares também estavam online nos EUA, Alemanha, Reino Unido, Austrália e Canadá. A Synthient publicou uma lista com 182 nomes de modelos de dispositivos conhecidos por estarem incluídos na botnet.

Fontes (em inglês)

• mmafighting.com: Ilia Topuria opens up on loss to Justin Gaethje, calls for Paddy Pimblett in April | MMA Fighting
• arstechnica.com: Google dismantles botnet secretly running on 1.3 million Android TV boxes - Ars Technica
• gigazine.net: Google dismantles botnet secretly running on 1.3 million Android TVs. - GIGAZINE
• securityweek.com: Google Dismantles XCPE Botnet of 1.3 Million Android Devices - SecurityWeek
• flatpanelshd.com: Google bans Android TV box maker behind malware on 1.3 million devices - FlatpanelsHD
• sports.yahoo.com: Ilia Topuria Targets Paddy Pimblett for April 2027 Return, Admits Retirement Is on His Mind - Yahoo Sports

Tradução feita com IA do artigo original em inglês, revisada automaticamente para dizer o mesmo que o original. As fontes foram verificadas em inglês.