Backdoor di una botnet ha interessato oltre 1,3 milioni di dispositivi negli USA, in Europa e in Asia
Cosa sappiamo finora: Google ha interrotto ogni rapporto con il produttore di set-top box Android Videostrong dopo aver accusato l’azienda di aver preinstallato una backdoor su più di 1,3 milioni di dispositivi. Battezzata XCPE, la backdoor sfruttava tecniche di offuscamento per sfuggire ai controlli di Google e ha arruolato i dispositivi compromessi in una vasta botnet che il colosso di Mountain View ha poi smantellato.
La backdoor è stata individuata nel firmware di diversi dispositivi Videostrong, tra cui il modello Mecool KTI, oltre che in numerosi box Android prodotti per terzi (white-label). Il gruppo statunitense di ricerca su cybersecurity e frodi Synthient, che ha collaborato con Google nell’analisi del malware, afferma di aver identificato almeno 182 diversi modelli di dispositivo infettati e incorporati nella botnet.
Secondo le ricostruzioni, il malware sfruttava una vulnerabilità nel firmware degli Android box per iniettare codice malevolo subito dopo il primo avvio dei dispositivi. Introdotto per la prima volta nel 2024 come un semplice dropper monofase, il software malevolo è stato ricostruito da Videostrong nel corso degli anni successivi in una struttura modulare a tre fasi, rendendolo più resistente e consentendo meccanismi di monetizzazione multi-tenant.
Oltre ai classici set-top box Android, il codice malevolo è stato rilevato anche in altri prodotti commercializzati da Videostrong, tra cui dispositivi per telemedicina, macchine per karaoke e pannelli pubblicitari digitali. La backdoor utilizzava vari stratagemmi di offuscamento per superare i test di certificazione di Google e disabilitava Play Protect, lo strumento di protezione in tempo reale di Google per Android.
Secondo il Threat Intelligence Group di Google, i dispositivi infetti sono stati aggregati in una rete globale che ha permesso agli attori criminali di mettere in atto frodi pubblicitarie, sottrarre dati, acquisire screenshot, iniettare sequenze di tasti e aprire shell remote. I dispositivi compromessi venivano inoltre inseriti in reti proxy per instradare traffico non autorizzato verso server di comando e controllo gestiti dai criminali.
Nel dettaglio del ruolo svolto da Videostrong nella diffusione della backdoor XCPE, Google ha spiegato di aver rintracciato il malware in diversi modelli distribuiti con vari marchi e che la diffusione era agevolata da un’infrastruttura dedicata. La backdoor è stata progettata per evolvere durante il suo ciclo di vita, modificando caratteristiche e comportamento per sfuggire alle rilevazioni mentre arruolava sempre più dispositivi nella botnet in rapida espansione.
La società cinese con sede a Shenzhen avrebbe monetizzato la backdoor consentendo a organizzazioni di cybercrimine di caricare moduli malevoli propri sui dispositivi infetti. Questi moduli secondari non si limitavano a orchestrare frodi pubblicitarie e a registrare i dispositivi in reti proxy “residentiali”, ma erano anche pensati per installare ulteriore malware.
Per analizzare l’ecosistema XCPE e smantellare i domini di comando e controllo utilizzati dagli operatori della botnet e dai loro affiliati, Google ha collaborato a stretto contatto con diverse forze dell’ordine internazionali e società di cybersecurity, tra cui l’Agenzia Nazionale di Polizia del Giappone, Lumen, HUMAN Security, Plume, Synthient e TrendAI.
Va sottolineato che mentre Google stima il numero complessivo di dispositivi coinvolti intorno a 1,3 milioni, TrendMicro riporta un conteggio più alto, contando 1.472.554 dispositivi infetti distribuiti tra Stati Uniti, Canada, Germania, Regno Unito, Australia, Brasile, Malesia, Iraq, Messico e Taiwan.
Tra le contromisure annunciate, Google ha vietato a Videostrong e alle sue affiliate di produrre dispositivi Android certificati o di fornire software ad altri vendor Android e partner di Google. L’azienda ha inoltre intrapreso miglioramenti al programma di certificazione Android per rafforzare l’integrità del firmware e ridurre la probabilità di incidenti analoghi in futuro.
Messaggi simili:
- Android 11: 10 volte più utenti rispetto all’ultima versione di Google
- Migliaia di Router Asus Violati dal Backdoor “ViciousTrap” – Proteggi Subito il Tuo!
- Attenzione: Malware Preinstallato su Telefoni Android contraffatti Infetta Tutto!
- App Maliziose su Android e iOS Scansionano Screenshot per Rubare Criptovalute!
- Allarme Android: il malware Crocodilus aggiunge contatti fasulli per truffe telefoniche!
Nicola Costanzo esplora il mondo della tecnologia e dell’innovazione. I suoi articoli illuminano le sfide digitali che plasmano il nostro futuro.