In uno sviluppo che non dovrebbe sorprendere assolutamente nessuno che abbia mai guardato con sospetto un economico box di streaming, Google ha confermato che uno dei suoi partner produttivi Android ha segretamente inserito una backdoor in 1,3 milioni di dispositivi trasformandoli in una botnet. L'azienda afferma di aver ora smantellato la backdoor e "tagliato i ponti" con il produttore, Videostrong Technology Co. con sede a Shenzhen, Cina, a cui è stato vietato di costruire o vendere dispositivi Android certificati o fornire software per essi.

I dispositivi infetti sono stati utilizzati all'insaputa dei proprietari per "attività malevole", inclusi frodi pubblicitarie, esfiltrazione di dati e instradamento di traffico di rete non autorizzato. Google sostiene che "la backdoor e la botnet sono state intenzionalmente sviluppate, distribuite e gestite per guadagno finanziario". Scioccante, lo sappiamo. In una dichiarazione, l'azienda ha spiegato che Videostrong monetizzava la backdoor vendendo l'accesso ad affiliati criminali e caricando i moduli malware di questi affiliati sui dispositivi infetti. Questi moduli secondari conducevano frodi pubblicitarie, iscrivevano silenziosamente i dispositivi infetti in reti proxy residenziali e caricavano ulteriore malware sui dispositivi compromessi da XCPE.

Google ha anche agito per interrompere i domini di comando e controllo (C2) che gestivano questi moduli affiliati. Poiché gli affiliati hanno ciascuno canali di distribuzione diversificati oltre XCPE, Google valuta che l'abbattimento dei loro domini C2 reciderà l'accesso ad almeno 10 milioni di dispositivi compromessi aggiuntivi. Quindi, un lato positivo: solo altri 10 milioni di dispositivi erano coinvolti nel divertimento.

Non è stato colpito solo un modello di dispositivo, inoltre - il malware è stato trovato "integrato direttamente in molti diversi modelli e marche di dispositivi nel corso di più anni". La maggior parte erano set-top box Android TV, ma la botnet ha infettato anche altri "dispositivi IoT basati su Android, inclusi dispositivi di telemedicina, macchine per il karaoke e dispositivi per la cartellonistica digitale". Perché niente dice "apparecchiatura medica affidabile" come un contorno di frode pubblicitaria.

Google afferma che Videostrong ha utilizzato "tecniche di offuscamento" per caricare il malware sui dispositivi degli utenti dopo che questi avevano avviato l'hardware per la prima volta. L'azienda afferma inoltre di aver apportato modifiche al proprio processo di revisione per i produttori di dispositivi dopo questo incidente - presumibilmente comportando meno ammiccamenti e più controlli effettivi.