In questo articolo
- Google afferma che Videostrong ha violato una backdoor in 1,3 milioni di sistemi certificati. Android decoder TV e accesso alla botnet venduto ai criminali.
- L'operazione ha smantellato la botnet, ma la backdoor rimane nel firmware dei dispositivi infetti.
- Sospetti che il tuo decoder non funzioni correttamente? Scollegalo e chiedi al venditore informazioni su una possibile riparazione o sostituzione.
La maggior parte dei malware richiede che tu clicchi su qualcosa. Questo invece era incluso nella confezione.
Il gruppo di intelligence sulle minacce di Google (GTIG) afferma di avere un'elevata fiducia nel fatto che Android Il produttore di dispositivi Videostrong Technology ha creato e gestito la backdoor XCPE a scopo di lucro. Videostrong vendeva l'accesso ad affiliati criminali, i quali caricavano i propri moduli malware sui dispositivi.
GTIG ha scoperto che la backdoor, chiamata x.cpe (o com.oemservice in alcune build), si trova nel firmware con privilegi a livello di sistema. Se qualcuno la disinstalla, si reinstalla da sola. /oem/ partizione al riavvio del dispositivo. Potrebbe anche disattivare la verifica delle app di Google Play Protect, consentendo l'installazione di più software senza chiedere conferma.
Google afferma che Videostrong ha superato i test di compatibilità e sicurezza caricando il codice dannoso dopo il primo avvio del dispositivo. Ciò ha permesso ai dispositivi di rimanere parte della rete proxy residenziale.
Le reti proxy residenziali affittano normali indirizzi IP domestici ai clienti. In questo modo, il loro traffico appare come proveniente da una connessione utente legittima anziché da un data center. Ciò può aiutare i criminali informatici a eludere i controlli antifrode basati su IP e i sistemi di reputazione.
Il problema per gli utenti
Ecco cosa potrebbero significare per i loro proprietari i decoder con accesso non autorizzato:
- La tua connessione internet domestica potrebbe essere utilizzata da altri. I moduli proxy residenziali instradavano il traffico di altre persone attraverso dispositivi infetti e gli indirizzi IP domestici dei rispettivi proprietari.
- Frode pubblicitaria . Moduli generavano visualizzazioni e clic falsi sugli annunci in background.
- Spionaggio e accesso remoto al tuo dispositivo. Google ha osservato degli operatori che acquisivano screenshot in tempo reale, iniettavano sequenze di tasti, raccoglievano informazioni sull'account e sul dispositivo e aprivano reverse shell.
- Altri malware. Alcuni moduli di affiliazione erano backdoor che potevano caricare ulteriori moduli.
- Il tuo indirizzo IP potrebbe essere collegato ad attività che non hai avviato. Il traffico proxy, ad esempio, può includere tentativi di indovinare le password degli account e potrebbe far sì che il tuo indirizzo IP di casa appaia associato a tale attività.
Come stare al sicuro
Google e i suoi partner hanno intrapreso azioni legali per chiudere i domini e i server che Videostrong utilizzava per controllare la botnet. Google afferma di aver vietato a Videostrong e alle sue future filiali e società affiliate di effettuare attività certificate. Android dispositivi e controlli rafforzati sull'integrità del firmware per i dispositivi certificati Android dispositivi TV.
La disattivazione interrompe solo la connessione corrente ai server malevoli. Non rimuove la backdoor dai dispositivi infetti e può potenzialmente essere sfruttata da altri criminali. Se pensi che il tuo dispositivo possa essere infetto, scollegalo e contatta il venditore o il produttore per richiedere un firmware pulito o una sostituzione. La disinstallazione dell'app non rimuoverà la backdoor dal firmware.
Google non ha pubblicato un elenco completo dei modelli interessati, quindi i proprietari potrebbero non essere in grado di capire dal solo nome del modello se il loro decoder è infetto. Se decidi di sostituire il tuo decoder:
- Acquista da un produttore affidabile.
- Fate attenzione ai decoder per la "TV gratuita". Abbiamo già parlato in passato di Superbox e dispositivi simili.
- Fai attenzione alle app che ti pagano per condividere la tua larghezza di banda. Possono instradare il traffico di altri utenti attraverso la tua connessione internet.
- Utilizza solo app store affidabili e mantieni attivo Google Play Protect.
- Isola il dispositivo . Collega i decoder TV e gli altri dispositivi IoT a una rete o VLAN separata con accesso in uscita limitato. Questo non protegge i dispositivi stessi, ma li mantiene separati dagli altri dispositivi.
I truffatori sanno più cose su di te di quanto tu creda.
Malwarebytes Mobile Security Ti protegge da phishing , SMS truffaldini, siti dannosi e altro ancora. Con Scam Guard integrato, basato sull'intelligenza artificiale e disponibile in tempo reale.
