Dans un développement qui ne devrait surprendre absolument personne ayant déjà jeté un regard suspicieux sur un boîtier de streaming bon marché, Google a confirmé que l'un de ses partenaires de fabrication Android avait secrètement intégré une porte dérobée dans 1,3 million d'appareils et les avait transformés en botnet. L'entreprise affirme avoir désormais démantelé la porte dérobée et « coupé les ponts » avec le fabricant, Videostrong Technology Co., basé à Shenzhen, en Chine, qui a été interdit de fabriquer ou de vendre des appareils Android certifiés ou de fournir des logiciels pour ceux-ci.

Les appareils infectés ont été utilisés à l'insu de leurs propriétaires pour des « activités malveillantes », notamment la fraude publicitaire, l'exfiltration de données et le routage de trafic réseau non autorisé. Google affirme que « la porte dérobée et le botnet ont été intentionnellement développés, déployés et exploités à des fins lucratives ». Choquant, on sait. Dans un communiqué, l'entreprise a expliqué que Videostrong monétisait la porte dérobée en vendant l'accès à des affiliés criminels et en chargeant les modules malveillants de ces affiliés sur les appareils infectés. Ces modules secondaires effectuaient de la fraude publicitaire, inscrivaient silencieusement les appareils infectés dans des réseaux de proxy résidentiels et chargeaient des logiciels malveillants supplémentaires sur les appareils compromis par XCPE.

Google a également pris des mesures pour perturber les domaines de commande et de contrôle (C2) exploitant ces modules affiliés. Étant donné que les affiliés disposent chacun de canaux de distribution diversifiés au-delà de XCPE, Google estime que la neutralisation de leurs domaines C2 coupera l'accès à au moins 10 millions d'appareils compromis supplémentaires. Donc, une lueur d'espoir : seulement 10 millions d'autres appareils étaient de la partie.

Ce n'était pas qu'un seul modèle d'appareil touché non plus - le logiciel malveillant a été trouvé « intégré directement dans de nombreux modèles et marques d'appareils différents sur plusieurs années ». La plupart étaient des décodeurs Android TV, mais le botnet a également infecté d'autres « appareils IoT basés sur Android, y compris des appareils de télésanté, des machines de karaoké et des dispositifs d'affichage numérique ». Parce que rien ne dit « équipement médical de confiance » comme un accompagnement de fraude publicitaire.

Google affirme que Videostrong a utilisé des « techniques d'obfuscation » pour charger le logiciel malveillant sur les appareils des utilisateurs après leur premier démarrage. L'entreprise déclare également avoir modifié son processus d'examen des fabricants d'appareils après cet incident - vraisemblablement en réduisant les clins d'œil et en augmentant les vérifications réelles.