Em um desdobramento que não deveria surpreender absolutamente ninguém que já tenha olhado com desconfiança para uma caixa de streaming barata, o Google confirmou que um de seus parceiros de fabricação Android construiu secretamente uma backdoor em 1,3 milhão de dispositivos e os transformou em uma botnet. A empresa diz que agora desmontou a backdoor e "cortou laços" com o fabricante, a Videostrong Technology Co., sediada em Shenzhen, na China, que foi proibida de construir ou vender dispositivos Android certificados ou fornecer software para eles.

Os dispositivos infectados foram usados sem o conhecimento dos proprietários para "atividades maliciosas", incluindo fraude publicitária, exfiltração de dados e roteamento de tráfego de rede não autorizado. O Google afirma que "a backdoor e a botnet foram intencionalmente desenvolvidas, implantadas e operadas para ganho financeiro". Chocante, nós sabemos. Em um comunicado, a empresa explicou que a Videostrong monetizou a backdoor vendendo acesso a afiliados criminosos e carregando os módulos de malware desses afiliados nos dispositivos infectados. Esses módulos secundários realizavam fraude publicitária, inscreviam silenciosamente dispositivos infectados em redes de proxy residenciais e carregavam malware adicional em dispositivos comprometidos pelo XCPE.

O Google também tomou medidas para interromper os domínios de comando e controle (C2) que operavam esses módulos afiliados. Como os afiliados têm canais de distribuição diversificados além do XCPE, o Google avalia que derrubar seus domínios C2 cortará o acesso a pelo menos 10 milhões de dispositivos comprometidos adicionais. Então, um lado positivo: apenas mais 10 milhões de dispositivos estavam na diversão.

Não foi apenas um modelo de dispositivo afetado - o malware foi encontrado "embutido diretamente em muitos modelos e marcas diferentes de dispositivos ao longo de vários anos". A maioria eram set-top boxes Android TV, mas a botnet também infectou outros "dispositivos IoT baseados em Android, incluindo dispositivos de telessaúde, máquinas de karaokê e dispositivos de sinalização digital". Porque nada diz "equipamento médico confiável" como um acompanhamento de fraude publicitária.

O Google diz que a Videostrong usou "técnicas de ofuscação" para carregar o malware nos dispositivos dos usuários depois que eles inicializaram o hardware pela primeira vez. A empresa também diz que fez mudanças em seu processo de revisão para fabricantes de dispositivos após este incidente - presumivelmente envolvendo menos piscadelas e mais verificação real.