Uno de los socios de Android de Google convirtió 1,3 millones de decodificadores en una botnet

Google dice que uno de sus socios fabricantes de Android secretamente construyó una puerta trasera en 1,3 millones de dispositivos y los convirtió en una botnet. La compañía dice que ahora ha desmantelado la puerta trasera y «cortado los lazos» con el fabricante, Videostrong Technology Co., con sede en Shenzhen, China, al que se le ha prohibido fabricar o vender dispositivos Android certificados o suministrarles software.

Los dispositivos infectados se utilizaron sin el conocimiento de los propietarios para «actividades maliciosas», como fraude publicitario, filtración de datos y enrutamiento de tráfico de red no autorizado. Google afirma que «la puerta trasera y la botnet fueron desarrolladas, implementadas y operadas intencionalmente para obtener ganancias financieras», diciendo:

Videostrong monetizó la puerta trasera vendiendo acceso a afiliados criminales y cargando los módulos de malware de esos afiliados en dispositivos infectados. Estos módulos secundarios realizaban fraude publicitario; inscribir silenciosamente dispositivos infectados en redes proxy residenciales; y cargar malware adicional en dispositivos comprometidos con XCPE. También tomamos medidas para interrumpir los dominios de comando y control (C2) que operan estos módulos afiliados. Debido a que cada uno de estos afiliados tiene canales de distribución diversificados para sus módulos más allá de XCPE, evaluamos que eliminar sus dominios C2 cortará el acceso a al menos 10 millones de dispositivos comprometidos adicionales.

Tampoco fue solo un dispositivo el que se vio afectado: el malware se encontró «integrado directamente en muchos modelos y marcas de dispositivos diferentes durante varios años». La mayoría de ellos eran decodificadores de Android TV, pero la botnet también infectó otros «dispositivos de IoT basados ​​en Android, incluidos dispositivos de telesalud, máquinas de karaoke y dispositivos de señalización digital».

Google dice que Videostrong utilizó «técnicas de ofuscación» para cargar el malware en los dispositivos de los usuarios después de que iniciaron el hardware por primera vez. Google también dice que realizó cambios en su proceso de revisión para los fabricantes de dispositivos después de este incidente.