Neste artigo
- O Google afirma que a Videostrong instalou um backdoor em 1,3 milhão de certificados. Android Aparelhos de TV e acesso à botnet vendido a criminosos.
- A operação de desmantelamento interrompeu a botnet, mas a porta dos fundos permanece no firmware dos dispositivos infectados.
- Suspeita que seu aparelho esteja com defeito? Desconecte-o e pergunte ao vendedor sobre um conserto ou substituição.
A maioria dos malwares exige que você clique em algo. Este veio na caixa.
O Grupo de Inteligência de Ameaças do Google (GTIG) afirma ter alta confiança de que Android A fabricante de dispositivos Videostrong Technology construiu e operou o backdoor XCPE para obter lucro financeiro. A Videostrong vendia o acesso a afiliados criminosos, que instalavam seus próprios módulos de malware nos dispositivos.
A GTIG descobriu que o backdoor, chamado x.cpe (ou com.oemservice em algumas versões), reside no firmware com privilégios de nível de sistema. Se alguém o desinstalar, ele se reinstala a partir do sistema. /oem/ A partição ocorre quando o dispositivo é reiniciado. Também pode desativar a verificação do aplicativo Google Play Protect, permitindo a instalação de mais softwares sem permissão.
O Google afirma que o Videostrong conseguiu burlar seus testes de compatibilidade e segurança ao carregar o código malicioso após a primeira inicialização do dispositivo. Isso permitiu que os dispositivos permanecessem na rede proxy residencial.
Redes de proxy residenciais alugam endereços IP comuns de residências para clientes. Isso faz com que o tráfego pareça vir de uma conexão legítima de consumidor, em vez de um centro de dados. Isso pode ajudar cibercriminosos a burlar controles de fraude baseados em IP e sistemas de reputação.
O problema para os usuários
Eis o que os decodificadores com portas traseiras podem significar para seus proprietários:
- Sua conexão de internet residencial pode estar sendo usada por outras pessoas. Módulos de proxy residencial roteiam o tráfego de outras pessoas através de servidores infectados e dos endereços IP residenciais de seus proprietários.
- Fraude publicitária . Módulos geraram visualizações e cliques falsos em anúncios em segundo plano.
- Espionagem e acesso remoto ao seu dispositivo. O Google observou operadores capturando screenshots ao vivo, injetando sequências de teclas, coletando informações de contas e dispositivos e abrindo shells reversos.
- Mais malware. Alguns módulos afiliados eram backdoors que podiam carregar outros módulos.
- Seu endereço IP pode estar vinculado a atividades que você não iniciou. O tráfego de proxy pode incluir tentativas de adivinhar senhas de contas, por exemplo, e pode fazer com que seu endereço IP residencial apareça associado a essa atividade.
Como se manter seguro
O Google e seus parceiros entraram com uma ação judicial para derrubar os domínios e servidores que a Videostrong usava para controlar a botnet. O Google afirma ter proibido a Videostrong e suas futuras subsidiárias e afiliadas de criarem botnets certificadas. Android dispositivos e verificações de integridade de firmware reforçadas para dispositivos certificados. Android Aparelhos de TV.
A desativação apenas corta a conexão atual com os servidores maliciosos. Ela não remove a porta dos fundos dos dispositivos infectados e pode ser explorada por outros criminosos. Se você suspeitar que seu dispositivo esteja afetado, desconecte-o e entre em contato com o vendedor ou fabricante para solicitar um firmware limpo ou uma substituição. Desinstalar o aplicativo não removerá a porta dos fundos do firmware.
O Google não publicou uma lista completa dos modelos afetados, portanto, os proprietários podem não conseguir identificar apenas pelo nome do modelo se o seu aparelho está infectado. Se você decidir substituir o seu aparelho:
- Compre de um fabricante de boa reputação.
- Tenha cuidado com os aparelhos de "TV grátis". Já falamos anteriormente sobre o Superbox e dispositivos semelhantes.
- Tenha cuidado com aplicativos que pagam para você compartilhar sua largura de banda. Eles podem rotear o tráfego de outras pessoas através da sua conexão de internet.
- Use apenas lojas de aplicativos confiáveis e mantenha o Google Play Protect ativado.
- Isole o dispositivo . Coloque decodificadores de TV e outros equipamentos de IoT em uma rede separada ou VLAN com acesso de saída restrito. Isso não protege os próprios dispositivos, mas mantém outros dispositivos isolados.
Os golpistas sabem mais sobre você do que você imagina.
Malwarebytes Mobile Security Protege você contra phishing , mensagens de texto fraudulentas, sites maliciosos e muito mais. Com proteção contra golpes em tempo real, alimentada por IA e integrada.
