Dans cet article
- Google affirme que Videostrong a introduit une porte dérobée dans 1,3 million de comptes certifiés Android Des boîtiers TV et des criminels ont vendu l'accès au botnet.
- L'opération a démantelé le réseau de zombies, mais la porte dérobée demeure dans le micrologiciel des machines infectées.
- Vous avez des doutes sur votre décodeur ? Débranchez-le et demandez au vendeur s’il peut le réparer ou le remplacer.
La plupart des logiciels malveillants nécessitent un clic. Celui-ci était déjà dans la boîte.
Le groupe de renseignement sur les menaces de Google (GTIG) se dit très confiant que Android Le fabricant d'appareils Videostrong Technology a conçu et exploité la porte dérobée XCPE à des fins lucratives. Videostrong vendait l'accès à des complices criminels, qui installaient leurs propres modules malveillants sur les boîtiers.
GTIG a découvert que la porte dérobée, nommée x.cpe (ou com.oemservice dans certaines versions), est intégrée au firmware et dispose de privilèges système. Si un utilisateur la désinstalle, elle se réinstalle automatiquement. /oem/ Une partition est créée lors du redémarrage de l'appareil. Il pourrait également désactiver la vérification des applications Google Play Protect, ce qui lui permettrait d'installer davantage de logiciels sans autorisation.
Google affirme que Videostrong a contourné ses tests de compatibilité et de sécurité en chargeant le code malveillant après le premier démarrage de l'appareil. Cela a permis aux appareils de rester intégrés au réseau proxy résidentiel.
Les réseaux de proxy résidentiels louent des adresses IP domestiques classiques à leurs clients. Leur trafic apparaît ainsi comme provenant d'une connexion légitime plutôt que d'un centre de données. Cela permet aux cybercriminels de contourner les systèmes de contrôle de la fraude et de réputation basés sur l'adresse IP.
Le problème pour les utilisateurs
Voici ce que les décodeurs à porte dérobée pourraient signifier pour leurs propriétaires :
- Votre connexion internet domestique pouvait être utilisée par d'autres personnes. Des modules proxy résidentiels acheminaient le trafic d'autres utilisateurs via des appareils infectés et les adresses IP de leurs propriétaires.
- Fraude publicitaire . Des modules généraient en arrière-plan de fausses vues et de faux clics publicitaires.
- Espionnage et accès à distance à votre appareil. Google a observé des opérateurs effectuant des captures d'écran en direct, injectant des frappes au clavier, collectant des informations sur les comptes et les appareils, et ouvrant des shells inversés.
- Encore plus de logiciels malveillants. Certains modules affiliés étaient des portes dérobées capables de charger d'autres modules.
- Votre adresse IP pourrait être associée à une activité que vous n'avez pas initiée. Le trafic proxy peut inclure des tentatives de devinage de mots de passe, par exemple, et peut faire apparaître votre adresse IP personnelle en lien avec cette activité.
Comment rester en sécurité
Google et ses partenaires ont intenté une action en justice pour faire fermer les domaines et les serveurs utilisés par Videostrong pour contrôler le réseau de robots. Google affirme avoir interdit à Videostrong, ainsi qu'à ses futures filiales et sociétés affiliées, de réaliser des opérations certifiées. Android appareils et contrôles d'intégrité du micrologiciel renforcés pour les appareils certifiés Android Appareils de télévision.
La désinstallation de l'application coupe uniquement la connexion actuelle aux serveurs malveillants. Elle ne supprime pas la porte dérobée des appareils infectés et peut potentiellement être exploitée par d'autres personnes. Si vous pensez que votre appareil est concerné, déconnectez-le et contactez le vendeur ou le fabricant pour demander un firmware propre ou un remplacement. La désinstallation de l'application ne supprimera pas la porte dérobée du firmware.
Google n'a pas publié de liste complète des modèles concernés ; les propriétaires ne pourront donc pas déterminer, à partir du seul nom du modèle, si leur appareil est infecté. Si vous décidez de remplacer votre appareil :
- Achetez auprès d'un fabricant réputé.
- Soyez prudents avec les boîtiers « TV gratuite ». Nous avons déjà parlé de Superbox et d'appareils similaires.
- Méfiez-vous des applications qui vous rémunèrent pour partager votre bande passante. Elles peuvent faire transiter le trafic d'autres personnes par votre connexion internet.
- Privilégiez les boutiques d'applications de confiance et laissez Google Play Protect activé.
- Isolez le boîtier . Placez les décodeurs TV et autres objets connectés sur un réseau ou un VLAN distinct, avec un accès sortant restreint. Cela ne garantit pas la sécurité des appareils eux-mêmes, mais permet de les isoler des autres appareils.
Les escrocs en savent plus sur vous que vous ne le pensez.
Malwarebytes Mobile Security Vous protège contre le phishing , les SMS frauduleux, les sites malveillants et bien plus encore. Grâce à sa protection anti-arnaques intégrée, basée sur l'IA et fonctionnant en temps réel.
