W wydarzeniu, które nie powinno zaskoczyć absolutnie nikogo, kto kiedykolwiek podejrzliwie spojrzał na tani dekoder streamingowy, Google potwierdził, że jeden z jego partnerów produkujących urządzenia z Androidem potajemnie zainstalował backdoor w 1,3 miliona urządzeń i zamienił je w botnet. Firma twierdzi, że zdemontowała backdoor i „zerwała stosunki” z producentem, firmą Videostrong Technology Co. z Shenzhen w Chinach, której zakazano produkcji i sprzedaży certyfikowanych urządzeń z Androidem oraz dostarczania dla nich oprogramowania.

Zainfekowane urządzenia były wykorzystywane bez wiedzy właścicieli do „złośliwej działalności”, w tym oszustw reklamowych, eksfiltracji danych i kierowania nieautoryzowanego ruchu sieciowego. Google twierdzi, że „backdoor i botnet zostały celowo opracowane, wdrożone i obsługiwane w celu osiągnięcia korzyści finansowych”. Szokujące, wiemy. W oświadczeniu firma wyjaśniła, że Videostrong monetyzował backdoor, sprzedając dostęp przestępczym podmiotom i ładując moduły złośliwego oprogramowania tych podmiotów na zainfekowane urządzenia. Te wtórne moduły przeprowadzały oszustwa reklamowe, po cichu rejestrowały zainfekowane urządzenia w sieciach proxy rezydencjalnych i ładowały dodatkowe złośliwe oprogramowanie na urządzenia zainfekowane przez XCPE.

Google podjęło również działania w celu zakłócenia domen command and control (C2) obsługujących te moduły stowarzyszone. Ponieważ podmioty stowarzyszone mają zdywersyfikowane kanały dystrybucji poza XCPE, Google ocenia, że wyłączenie ich domen C2 odetnie dostęp do co najmniej 10 milionów dodatkowych zainfekowanych urządzeń. Więc jest i dobra strona: tylko 10 milionów kolejnych urządzeń brało udział w zabawie.

Nie chodziło tylko o jeden model urządzenia – złośliwe oprogramowanie znaleziono „wbudowane bezpośrednio w wiele różnych modeli i marek urządzeń na przestrzeni lat”. Większość stanowiły dekodery Android TV, ale botnet zainfekował także inne „urządzenia IoT oparte na Androidzie, w tym urządzenia telemedyczne, maszyny do karaoke i urządzenia do cyfrowej sygnalizacji”. Bo nic nie mówi „zaufany sprzęt medyczny” jak porcja oszustw reklamowych.

Google twierdzi, że Videostrong używał „technik zaciemniania”, aby załadować złośliwe oprogramowanie na urządzenia użytkowników po pierwszym uruchomieniu sprzętu. Firma poinformowała również, że po tym incydencie zmieniła proces weryfikacji producentów urządzeń – przypuszczalnie obejmuje to mniej mrugania okiem, a więcej rzeczywistego sprawdzania.