En un desarrollo que no debería sorprender a absolutamente nadie que alguna vez haya mirado con recelo un decodificador de streaming barato, Google ha confirmado que uno de sus socios fabricantes de Android construyó secretamente una puerta trasera en 1,3 millones de dispositivos y los convirtió en una botnet. La compañía dice que ahora ha desmantelado la puerta trasera y "cortado lazos" con el fabricante, Videostrong Technology Co., con sede en Shenzhen, China, que ha sido prohibido de fabricar o vender dispositivos Android certificados o suministrar software para ellos.

Los dispositivos infectados fueron utilizados sin el conocimiento de sus dueños para "actividades maliciosas", incluyendo fraude publicitario, exfiltración de datos y enrutamiento de tráfico de red no autorizado. Google afirma que "la puerta trasera y la botnet fueron desarrolladas, desplegadas y operadas intencionalmente para obtener ganancias financieras". Impactante, lo sabemos. En un comunicado, la empresa explicó que Videostrong monetizó la puerta trasera vendiendo acceso a afiliados criminales y cargando los módulos de malware de esos afiliados en los dispositivos infectados. Estos módulos secundarios realizaban fraude publicitario, inscribían silenciosamente los dispositivos infectados en redes de proxy residenciales y cargaban malware adicional en los dispositivos comprometidos por XCPE.

Google también tomó medidas para interrumpir los dominios de comando y control (C2) que operaban estos módulos afiliados. Debido a que los afiliados tienen cada uno canales de distribución diversificados más allá de XCPE, Google evalúa que derribar sus dominios C2 cortará el acceso a al menos 10 millones de dispositivos comprometidos adicionales. Así que, un lado positivo: solo 10 millones más de dispositivos estaban en la diversión.

No fue solo un modelo de dispositivo afectado, tampoco: el malware se encontró "incorporado directamente en muchos modelos y marcas diferentes de dispositivos a lo largo de múltiples años". La mayoría eran decodificadores de Android TV, pero la botnet también infectó otros "dispositivos IoT basados en Android, incluidos dispositivos de telesalud, máquinas de karaoke y dispositivos de señalización digital". Porque nada dice "equipo médico de confianza" como un toque de fraude publicitario.

Google dice que Videostrong utilizó "técnicas de ofuscación" para cargar el malware en los dispositivos de los usuarios después de que encendieran el hardware por primera vez. La compañía también dice que hizo cambios en su proceso de revisión para fabricantes de dispositivos después de este incidente, presumiblemente involucrando menos guiños y más verificación real.