Più di 1,3 milioni di dispositivi Android, principalmente box TV certificati, sono stati venduti con una backdoor preinstallata direttamente nel firmware. Secondo il Google Threat Intelligence Group, il produttore cinese Videostrong Technology avrebbe sviluppato e gestito intenzionalmente l'infrastruttura malevola, trasformando i dispositivi dei clienti in una vasta rete utilizzata per frodi pubblicitarie, traffico attraverso reti proxy residenziali e distribuzione di ulteriore malware. L'operazione, denominata XCPE o X.CPE, è stata smantellata grazie a un'azione coordinata tra Google e numerosi partner del settore, tra cui l'Agenzia nazionale di polizia giapponese, Lumen, HUMAN Security, Plume, Synthient e TrendAI. L'intervento ha colpito sia l'infrastruttura principale della botnet sia numerosi server di comando e controllo utilizzati dai gruppi criminali che sfruttavano l'accesso ai dispositivi compromessi.

La particolarità del caso risiede nel fatto che l'infezione non derivava da applicazioni scaricate successivamente dagli utenti, bensì da codice integrato direttamente nei dispositivi al momento della produzione. Secondo Google, il malware era presente in numerosi modelli e marchi commercializzati per diversi anni e supportato da un'infrastruttura dedicata in continua evoluzione per eludere i controlli di sicurezza. Gli investigatori attribuiscono con un elevato grado di certezza l'operazione a Videostrong Technology, azienda attiva come produttore e progettista di dispositivi Android. Secondo la ricostruzione, la società avrebbe monetizzato l'accesso ai dispositivi vendendo capacità di controllo remoto a soggetti terzi e consentendo l'installazione di moduli malware sviluppati da affiliati.

La struttura tecnica della minaccia era sofisticata. Il componente principale, identificato come x.cpe o com.oemservice, operava con privilegi di sistema Android. Una volta installato, era in grado di ripristinarsi automaticamente da una partizione protetta del dispositivo dopo ogni riavvio, rendendo particolarmente difficile la sua rimozione da parte degli utenti. Google spiega che gli operatori hanno sfruttato tecniche di offuscamento per aggirare parte delle procedure di verifica previste per i dispositivi Android certificati; in particolare, il codice malevolo veniva attivato dopo il primo avvio del dispositivo, consentendo ai prodotti di superare inizialmente i controlli richiesti per la certificazione.

Attraverso la rete XCPE gli operatori potevano eseguire numerose attività da remoto. Tra le funzionalità documentate figurano l'installazione silenziosa di applicazioni, l'esecuzione arbitraria di comandi, la cattura di schermate, la raccolta di informazioni sul sistema, l'analisi della rete locale e l'acquisizione di dati diagnostici. I ricercatori hanno inoltre osservato l'esfiltrazione di dati sensibili, inclusi dettagli sugli account, registri di sistema e altre informazioni presenti sui dispositivi. Uno degli aspetti più preoccupanti riguarda la disattivazione automatica di Google Play Protect, il sistema di protezione integrato in Android: il malware modificava le impostazioni del dispositivo per impedire le verifiche di sicurezza sulle applicazioni installate successivamente, riducendo la capacità di rilevare ulteriori minacce caricate dagli operatori o dagli affiliati.

Leggi anche:

Vuoi aggiornare a Windows 11? Occhio al falso FlyOOBE: potrebbe essere un malwar...

Resuscitare l'aspirapolvere smart ucciso da remoto dal produttore

Signal potrebbe lasciare la UE: la protezione minori Chat Control "è un mal...

Oltre 9.000 router Asus compromessi da una botnet

La monetizzazione della rete avveniva attraverso diversi canali. Molti dispositivi venivano arruolati in reti proxy residenziali, che consentono a terzi di instradare il proprio traffico Internet attraverso connessioni domestiche apparentemente legittime. Altri moduli erano destinati alle frodi pubblicitarie, mentre ulteriori componenti installavano nuovo malware o consentivano il controllo remoto completo del dispositivo. Sebbene la maggioranza delle infezioni riguardasse box Android destinati alla televisione, Google ha rilevato dispositivi compromessi anche in altre categorie. Tra questi figurano apparecchi per teleassistenza sanitaria, sistemi karaoke e dispositivi per segnaletica digitale, a dimostrazione di come l'infrastruttura fosse stata distribuita ben oltre il mercato dell'intrattenimento domestico.

Secondo i ricercatori, la rete era stata progettata fin dall'inizio come una piattaforma di profitto continuativo: l'accesso persistente ai dispositivi permetteva agli operatori di distribuire nuovi moduli nel tempo e di adattare le attività criminali alle opportunità economiche del momento. Il risultato era una piattaforma modulare in cui differenti gruppi potevano acquistare l'accesso ai dispositivi e sfruttarli per attività diverse. A seguito delle indagini, Google ha interrotto ogni rapporto con Videostrong Technology, vietando all'azienda e alle sue eventuali affiliate future di produrre dispositivi Android certificati con applicazioni Google preinstallate. Contestualmente sono state introdotte modifiche ai processi di verifica e controllo dell'integrità del firmware per ridurre il rischio che situazioni analoghe possano ripetersi.

Ti raccomandiamo anche:

Apple, il governo britannico vuole una backdoor in iCloud

Malware di fabbrica nei mini PC venduti su Amazon

Migliaia di set-top box Android hanno la backdoor di fabbrica

Schede madri Gigabyte con la backdoor, ecco i firmware aggiornati