Neste artigo
- A Google afirma que a Videostrong instalou um backdoor em 1,3 milhões de certificados. Android Aparelhos de TV e acesso à botnet vendido a criminosos.
- A operação de desmantelamento interrompeu a botnet, mas a porta traseira permanece no firmware dos dispositivos infetados.
- Suspeita que o seu aparelho está com defeito? Desligue-o e pergunte ao vendedor sobre uma reparação ou substituição.
A maioria dos malwares exige que clique em algo. Este veio na caixa.
O Grupo de Inteligência de Ameaças da Google (GTIG) afirma ter uma elevada confiança de que Android A fabricante de dispositivos Videostrong Technology construiu e operou o backdoor XCPE para obter lucro financeiro. A Videostrong vendia o acesso a afiliados criminosos, que instalavam os seus próprios módulos de malware nos dispositivos.
A GTIG descobriu que o backdoor, denominado x.cpe (ou com.oemservice em algumas versões), reside no firmware com privilégios ao nível do sistema. Se alguém o desinstalar, reinstala-se a partir do sistema. /oem/ A partição ocorre quando o dispositivo é reiniciado. Também pode desativar a verificação da aplicação Google Play Protect, permitindo a instalação de mais software sem permissão.
A Google afirma que o Videostrong conseguiu contornar os seus testes de compatibilidade e segurança ao carregar o código malicioso após o primeiro arranque do dispositivo. Isto permitiu que os dispositivos permanecessem na rede proxy residencial.
As redes proxy residenciais alugam endereços IP comuns de residências aos clientes. Isto faz com que o tráfego pareça vir de uma ligação legítima de consumidor, em vez de um centro de dados. Isto pode ajudar os cibercriminosos a contornar os controlos de fraude baseados em IP e os sistemas de reputação.
O problema para os utilizadores
Eis o que os descodificadores com portas traseiras podem significar para os seus proprietários:
- A sua ligação de internet residencial pode estar a ser utilizada por outras pessoas. Os módulos de proxy residencial encaminham o tráfego de outras pessoas através de servidores infetados e dos endereços IP residenciais dos seus proprietários.
- Fraude publicitária . Os módulos geraram visualizações e cliques falsos em anúncios em segundo plano.
- Espionagem e acesso remoto ao seu dispositivo. A Google observou os operadores a capturarem screenshots ao vivo, a injetarem sequências de teclas, a recolherem informações de contas e dispositivos e a abrirem shells reversos.
- Mais malware. Alguns módulos afiliados eram backdoors que podiam carregar outros módulos.
- O seu endereço IP pode estar ligado a atividades que não iniciou. O tráfego de proxy pode incluir tentativas de adivinhar as palavras-passe das contas, por exemplo, e pode fazer com que o seu endereço IP residencial apareça associado a esta atividade.
Como se manter seguro
A Google e os seus parceiros apresentaram uma ação judicial para derrubar os domínios e servidores que a Videostrong utilizava para controlar a botnet. A Google afirma ter proibido a Videostrong e as suas futuras subsidiárias e afiliadas de criarem botnets certificadas. Android dispositivos e verificações de integridade do firmware reforçadas para dispositivos certificados. Android Aparelhos de TV.
A desativação apenas corta a ligação atual com os servidores maliciosos. Não remove a porta das traseiras dos dispositivos infetados e pode ser explorada por outros criminosos. Se suspeitar que o seu dispositivo está afetado, desligue-o e contacte o vendedor ou o fabricante para solicitar um firmware limpo ou uma substituição. Desinstalar a aplicação não removerá a porta traseira do firmware.
A Google não publicou uma lista completa dos modelos afetados, pelo que os proprietários podem não conseguir identificar apenas pelo nome do modelo se o seu dispositivo está infetado. Se decidir substituir o seu aparelho:
- Compre a um fabricante de boa reputação.
- Tenha cuidado com os aparelhos de "TV grátis". Já falámos anteriormente sobre o Superbox e dispositivos semelhantes.
- Tenha cuidado com as aplicações que lhe pagam para partilhar a sua largura de banda. Podem encaminhar o tráfego de outras pessoas através da sua ligação à internet.
- Utilize apenas lojas de aplicações fidedignas e mantenha o Google Play Protect ativado.
- Isole o dispositivo . Coloque os descodificadores de TV e outros equipamentos IoT numa rede separada ou VLAN com acesso de saída restrito. Isto não protege os próprios dispositivos, mas mantém outros dispositivos isolados.
Os burlões sabem mais sobre si do que pensa.
Malwarebytes Mobile Security Protege-o contra phishing , mensagens de texto fraudulentas, sites maliciosos e muito mais. Com proteção contra golpes em tempo real, alimentada por IA e integrada.
