Google expulsa Videostrong por boxes Android com malware

A Google desmantelou uma botnet que infectou 1.3 milhões de dispositivos Android TV, expulsando o fabricante das mesmas do programa de parceiros.

A Google e vários parceiros de cibersegurança conseguiram interromper as operações da XCPE, uma botnet que infectou mais de 1.3 milhões de boxes de streaming Android TV. Segundo o Threat Intelligence Group da Google, a fabricante chinesa Videostrong Technology instalava deliberadamente uma backdoor persistente nos equipamentos durante o processo de fabrico e vendia o acesso a grupos criminosos que usavam esse acesso para actividades ilegais.

Os dispositivos infectados eram utilizados para várias actividades maliciosas, incluindo fraude publicitária, serviços de proxies residenciais, e instalação de malware adicional. Os atacantes podiam descarregar apps remotamente, desactivar o Google Play Protect, executar comandos com privilégios de sistema, capturar imagens do ecrã e recolher informações sensíveis dos equipamentos. A Google também encerrou os servidores de comando e controlo da botnet, afectando mais de uma dúzia de famílias de malware relacionadas, e cortando o acesso a mais de 10 milhões de dispositivos comprometidos.

Na sequência da investigação, a Google terminou a relação comercial com a Videostrong, retirou-lhe a licença para fabricar equipamentos Android TV certificados e proibiu a empresa e futuras entidades associadas de produzir hardware Android certificado. A investigação contou com a participação da Agência Nacional de Polícia do Japão e de várias empresas de cibersegurança, que ajudaram a analisar e desactivar a infraestrutura maliciosa. Entre as provas que ligam a Videostrong à operação estão malware encontrado numa box MECOOL, endereços de email da empresa utilizados para assinar software malicioso, e servidores associados ao domínio da fabricante.

No entanto, o desmantelamento da botnet não remove automaticamente o malware dos equipamentos infectados. A Google alerta que a XCPE consegue reinstalar-se a partir de uma partição protegida do sistema, mesmo depois dos utilizadores tentarem eliminá-la. Para remover completamente a infecção será necessário instalar firmware limpo. Em alternativa, os proprietários dos equipamentos afectados deverão desligá-los totalmente da Internet para impedir a continuação das actividades maliciosas.