In een ontwikkeling die absoluut niemand zou moeten verbazen die ooit wantrouwend naar een goedkope streamingbox heeft gekeken, heeft Google bevestigd dat een van zijn Android-fabrikanten heimelijk een achterdeur in 1,3 miljoen apparaten heeft ingebouwd en ze in een botnet heeft veranderd. Het bedrijf zegt nu de achterdeur te hebben ontmanteld en de banden te hebben verbroken met de fabrikant, het in Shenzhen, China gevestigde Videostrong Technology Co., dat een verbod heeft gekregen om gecertificeerde Android-apparaten te bouwen of te verkopen of er software voor te leveren.

De geïnfecteerde apparaten werden zonder medeweten van de eigenaren gebruikt voor "kwaadaardige activiteiten", waaronder ad-fraude, data-exfiltratie en het routeren van ongeautoriseerd netwerkverkeer. Google beweert dat de "achterdeur en het botnet opzettelijk zijn ontwikkeld, ingezet en beheerd voor financieel gewin." Schokkend, we weten het. In een verklaring legde het bedrijf uit dat Videostrong de achterdeur monetiseerde door toegang te verkopen aan criminele partners en de malware-modules van die partners op geïnfecteerde apparaten te laden. Deze secundaire modules voerden ad-fraude uit, schreven geïnfecteerde apparaten stilletjes in bij residentiële proxynetwerken en laadden extra malware op XCPE-gecompromitteerde apparaten.

Google ondernam ook actie om de command-and-control (C2)-domeinen die deze partnermodules besturen, te verstoren. Omdat de partners elk gediversifieerde distributiekanalen hebben buiten XCPE, schat Google dat het neerhalen van hun C2-domeinen de toegang tot ten minste 10 miljoen extra gecompromitteerde apparaten zal afsnijden. Dus een lichtpuntje: slechts 10 miljoen extra apparaten deden mee aan de pret.

Het trof niet slechts één apparaatmodel - de malware werd "direct ingebouwd in vele verschillende apparaatmodellen en merken over meerdere jaren" aangetroffen. De meeste waren Android TV-settopboxen, maar het botnet infecteerde ook andere "op Android gebaseerde IoT-apparaten, waaronder telegeneeskunde-apparaten, karaokemachines en digitale signaalborden." Want niets zegt "betrouwbare medische apparatuur" als een bijgerecht van ad-fraude.

Google zegt dat Videostrong "obfuscation-technieken" gebruikte om de malware op de apparaten van gebruikers te laden nadat ze de hardware voor het eerst hadden opgestart. Het bedrijf zegt ook dat het zijn beoordelingsproces voor apparaatfabrikanten na dit incident heeft gewijzigd - vermoedelijk met minder knipoogjes en meer daadwerkelijk controleren.