Questo post é stato letto 90 volte!
Un'operazione internazionale ha portato allo smantellamento di XCPE, una botnet composta da oltre 1,3 milioni di dispositivi Android, principalmente Android TV Box e set-top box, distribuiti in più di 200 Paesi. La particolarità di questo attacco è che il codice malevolo era già presente nel firmware dei dispositivi al momento della vendita, non proveniva da applicazioni scaricate dagli utenti.
L'indagine ha coinvolto Google, Lumen, HUMAN Security, Plume, Synthient e TrendAI, in collaborazione con la National Police Agency giapponese. Il presunto responsabile è stato identificato in Videostrong Technology, un produttore cinese di Shenzhen specializzato in dispositivi Android. Google sostiene che l'azienda abbia integrato deliberatamente una backdoor nei propri prodotti, vendendo poi l'accesso ai dispositivi compromessi.
Il funzionamento del malware negli Android TV Box
Le analisi del Google Threat Intelligence Group descrivono un'infrastruttura criminale attiva almeno dalla fine del 2024. Il malware utilizzava un'architettura modulare per separare il controllo remoto dalle attività illegali. Il componente principale, identificato come com.oemservice, operava con privilegi di sistema. Una piccola applicazione nel firmware verificava all'avvio la presenza del pacchetto x.cpe e poteva reinstallarlo.
La persistenza del malware non dipendeva da un'applicazione utente, rendendo difficile la rimozione.
Una volta attivo, x.cpe recuperava le impostazioni da un server remoto, trasmettendo identificativi hardware e informazioni sul dispositivo. Il server rispondeva con parametri per stabilire una connessione permanente tramite MQTT. Attraverso questo canale, gli operatori potevano installare APK, modificare impostazioni, eseguire comandi, acquisire schermate e raccogliere dati sulla rete locale, inclusi account e registri di sistema.
Monetizzazione delle connessioni domestiche
Il valore economico della botnet risiedeva nella possibilità di trasformare ogni Android TV Box in un proxy residenziale, utilizzando la connessione Internet domestica del proprietario per instradare traffico generato da terzi. Le connessioni da IP residenziali appaiono più legittime rispetto a quelle da data center, permettendo agli aggressori di aggirare controlli geografici o nascondere l'origine delle loro comunicazioni.
Sono stati identificati numerosi componenti per monetizzare la banda, come Linkfog, GaGaNode, NetNut, AppSalt e Traffmonetizer. Accanto ai proxy, operavano moduli per la frode pubblicitaria, come HiddenView, che utilizzava WebView nascoste per generare visualizzazioni pubblicitarie artificiali. Un singolo TV Box poteva eseguire più moduli contemporaneamente, generando ricavi senza che l'utente se ne accorgesse.
La risposta di Google e le nuove misure
Google ha interrotto i rapporti con Videostrong, vietando all'azienda e alle sue affiliate di produrre e commercializzare dispositivi Android certificati o fornire software ad altri produttori certificati. Sono state anche annunciate modifiche alle verifiche sull'integrità dei firmware Android TV. L'operazione coordinata ha colpito i domini e i server utilizzati per controllare XCPE e distribuire i moduli aggiuntivi, con Google che ha intrapreso azioni legali per interrompere le infrastrutture di comando e controllo di diverse famiglie di malware collegate.
Secondo le stime, l'interruzione di tali infrastrutture potrebbe privare gli operatori criminali dell'accesso a milioni di dispositivi.
Questo post é stato letto 90 volte!