Google desmantela botnet de 1,3 milhão de TV boxes; backdoor permanece
Google e parceiros desmantelaram a botnet XCPE, de mais de 1,3 milhão de set-top boxes Android, e derrubaram seus servidores de comando. Segundo o Google, a fabricante chinesa Videostrong embutiu o backdoor x.cpe de fábrica e vendia o acesso a criminosos, que usavam os aparelhos como proxies residenciais e para fraude de anúncios. O backdoor segue no firmware, se reinstala após reiniciar e não pode ser removido pelo dono; aparelhos afetados, já vistos em 182 modelos, devem ser trocados.
O que aconteceu
Google e parceiros, incluindo a polícia do Japão, desmantelaram a botnet XCPE, formada por mais de 1,3 milhão de set-top boxes Android. Segundo o Google, a fabricante chinesa Videostrong embutiu um backdoor de fábrica e vendia o acesso a criminosos. Os servidores de comando foram derrubados, mas o backdoor continua nos aparelhos.
Por que importa
Sem conhecimento dos donos, os aparelhos eram alugados como proxies residenciais e usados para fraude de anúncios; o backdoor também capturava telas, registrava teclas digitadas e extraía dados de contas. Quem usa essas TV boxes em casa ou na empresa segue exposto, pois o backdoor não pode ser removido. O Google estima que a ação cortou o controle de pelo menos 10 milhões de dispositivos adicionais comprometidos.
O que fazer
Identificar e desconectar set-top boxes Android de baixo custo, em especial modelos ligados à Videostrong e à marca MECOOL (Skyworth); a Synthient publicou lista de modelos afetados. Trocar os aparelhos afetados, pois o backdoor se reinstala após reiniciar. Rever compras de dispositivos Android de fabricantes sem certificação.
Para o time técnico
- Afetados
- Videostrong Technology Set-top boxes Android TV da fabricante chinesa Videostrong, com backdoor XCPE (x.cpe) embutido no firmware; 1,3 milhão de dispositivos formavam botnet usada como proxies residenciais e para fraude; ou · Set-top boxes Android da Videostrong (OEM/ODM): mais de 1,3 milhão de dispositivos, 182 modelos, espalhados por mais de 200 países. O mesmo malware aparece em dispositivos Android de telemedicina, máquinas de karaokê e sinalização digital. Caixas MECOOL, vendidas pela Skyworth, também embarcavam o malware da Videostrong, segundo a Synthient.
- Exploração
- Botnet ativa por vários anos e operada pela própria fabricante. O Google (GTIG) afirma, com alta confiança, que o backdoor foi inserido de propósito e o acesso vendido a afiliados criminosos. O fundador da Synthient chama o número de 1,3 milhão de 'altamente conservador' e diz que a escala real provavelmente é muito maior.
- Correção
- Sem correção no aparelho: o backdoor se reinstala da partição /oem/ após reiniciar e não pode ser removido pelo proprietário; a troca do hardware é necessária. Google cortou laços com a Videostrong, baniu a fabricante de dispositivos com apps Google pré-carregados e fechou a brecha nos testes.
- Vetor
- Backdoor x.cpe pré-instalado no firmware pela fabricante, persistente na partição /oem/, com privilégio android.uid.system. Na inicialização contata o C2 via MQTT e executa comandos dos afiliados: scripts shell, instalação silenciosa de apps, desativação do Google Play Protect, captura de tela, registro de teclas e shells remotos. A Videostrong usou ofuscação para explorar uma brecha nos testes de compatibilidade do Google e carregar o código após o primeiro boot; o Google afirma ter fechado essa brecha.
- Mais detalhes
- Arquitetura em três estágios: backdoor primário em /oem/, loader e motor de execução, e módulos de monetização dos afiliados. O desmantelamento contou com a Agência Nacional de Polícia do Japão, Lumen, Human Security, Plume, Synthient e TrendAI; a ação legal derrubou domínios e servidores da Videostrong e o C2 que instalava mais de 12 famílias de malware. Relatórios técnicos publicados por Plume, Synthient e TrendAI; a Synthient lista os modelos afetados por número.
Indicadores (IoCs)
- XCPE (x.cpe)
- NetNut
- EarnFM
- Traffmonetizer
- Jaguar
- LINKFOG
- BMW/IPWeb
- GaGaNode
- Grass
Linha do tempo
Google detalha que a maioria dos dispositivos infectados são set-top boxes, mas a botnet X.CPE também alcançou outros aparelhos Android, incluindo equipamentos de telemedicina, máquinas de karaokê e placas de sinalização digital.
Polícia e empresas de tecnologia participaram com o Google do desmantelamento do botnet XCPE, atribuído à fabricante chinesa Videostrong.
Cobertura da SecurityWeek reforça que a botnet XCPE foi criada e operada para lucro financeiro pela fabricante Videostrong.
Quer as próximas atualizações no seu e-mail? Inscreva-se na edição diária →
Ver todas as 12 atualizações
Krebs detalha a ação: Google cortou laços com a fabricante Videostrong e a desmontagem deve tirar da botnet o acesso a mais de 10 milhões de sistemas adicionais, incluindo dispositivos de saúde e karaokês baseados em Android.
Google afirma que a própria Videostrong embutiu o backdoor e vendeu o acesso aos criminosos; a fabricante foi banida do Android certificado e o desmantelamento corta ao menos 10 milhões de dispositivos infectados além da botnet.
Google detalha que a Videostrong embutiu o backdoor de fábrica e que os aparelhos, espalhados por mais de 200 países, serviam como proxies residenciais, fraude publicitária, roubo de dados e entrega de malware; a infraestrutura de comando e controle foi apreendida.
Google afirma, com alta confiança, que a Videostrong embutiu o backdoor x.cpe no firmware de propósito e vendia acesso a afiliados criminosos; a ação derrubou domínios e servidores da fabricante, além da infraestrutura de comando de mais de 12 famílias de malware.
BleepingComputer destaca a ação do Google contra a botnet XCPE de cerca de um milhão de dispositivos e o banimento do fabricante das TV boxes.
O Google declara alta confiança de que a Videostrong inseriu o backdoor intencionalmente e vendeu o acesso a criminosos, que usaram os aparelhos para fraude de anúncios e para rotear tráfego de terceiros pela internet das vítimas.
Pesquisadores detalham que o backdoor x.cpe se reinstala após a reinicialização, não pode ser removido pelo proprietário e já aparece em 182 modelos de dispositivos.
Google detalha que o backdoor ia além do fraude de anúncios: capturava capturas de tela, registrava teclas digitadas, extraía dados de contas, abria shells remotos e desativava o Google Play Protect para instalar malware silenciosamente.
Google anuncia a desativação dos servidores de comando do botnet e o banimento da Videostrong.
Fontes 10 fontes
- @TheHackersNews @TheHackersNews
- @TheHackersNews @TheHackersNews
- @TheHackersNews @TheHackersNews
- Google Disrupts 1.3 Million-Device Android Botnet, Says TV Box Maker Sold Criminal Access The Hacker News
- @BleepinComputer @BleepinComputer
Ver todas as 12 fontes
- @DailyDarkWeb @DailyDarkWeb
- @DarkWebInformer @DarkWebInformer
- @IntCyberDigest @IntCyberDigest
- Tech Firms Dismantle Botnet That Turned 1.3M TV Boxes Into Proxies Krebs on Security
- Google Dismantles XCPE Botnet of 1.3 Million Android Devices SecurityWeek
- Police and Tech Firms Team Up to Dismantle XCPE Botnet Infosecurity Magazine
- Google dismantles massive botnet hidden in Android TV boxes The Record
