Google a declanșat o acțiune juridică împotriva producătorului Videostrong Technology Co și a blocat o rețea de malware infiltrată pe decodoare cu Android TV. Peste 1,3 milioane de aparate certificate din toată lumea au fost afectate. Ancheta echipei Google Threat Intelligence a arătat că o poartă de acces denumită XCPE a fost ascunsă chiar în firmware-ul echipamentelor, printre mărcile vizate aflându-se și gama populară MECOOL.
Conform acuzațiilor companiei, codul dăunător ar fi fost integrat direct de producătorul de echipamente înainte de livrarea către cumpărători, cazul fiind unul rar, întrucât aparatele au plecat spre clienți compromise din fabrică. Raportul tehnic arată că modulul ascuns funcționa cu privilegii la nivel de sistem. Cu aceste drepturi extinse, operatorii puteau instala programe în mod silențios și puteau face capturi de ecran.
Programul malițios putea simula comenzi de la tastatură, colecta date sensibile despre dispozitiv și direcționa traficul web prin conexiunile casnice de internet. Google susține că producătorul ar fi monetizat accesul la echipamente prin acordarea de permisiuni unor parteneri infracționali afiliați.
Acești afiliați foloseau modulele pentru fraudă publicitară și servicii de proxy rezidențial. Se estimează că operațiunea a afectat utilizatori din peste 200 de țări, cererile de date externe fiind mascate în spatele adreselor IP obișnuite ale locuințelor.
Episoadele anterioare de malware pe Android TV vizaseră în mare parte aparate necertificate distribuite pe canale neoficiale. În cazul Videostrong, decodoarele trecuseră prin programul de certificare al Google. Situația a arătat o vulnerabilitate la verificarea inițială, căci programul malițios putea fi încărcat după prima pornire a aparatului.
Google a explicat că modulul a fost integrat în numeroase modele pe parcursul mai multor ani, folosind servere dedicate și configurații modificate continuu pentru a scăpa de filtre. Compania a interzis definitiv producătorului Videostrong și firmelor afiliate să mai fabrice dispozitive Android certificate sau să livreze programe către furnizori certificați.
Și domeniile web ori serverele care controlau botnetul au fost închise. Mecanismul de certificare Android TV a fost întărit pentru a opri fraude similare în viitor.
La nivelul aparatelor din piață, serviciul de securitate Google Play Protect verifică aplicațiile și dispozitivele pentru a detecta comportamentul dăunător. Sistemul controlează aplicațiile din Magazinul Google Play înainte de descărcare și scanează decodorul în căutarea programelor periculoase din alte surse.
Dacă găsește o amenințare, serviciul trimite o notificare, poate dezactiva programul sau îl elimină automat din aparat. Utilizatorii primesc alerte și când o aplicație ascunde informații esențiale ori încalcă normele de confidențialitate. Pe versiunile de Android între 6 și 10, Play Protect poate reseta permisiunile pentru aplicațiile nefolosite timp de 3 luni.
Cei care dețin dispozitive Android compatibile pot verifica starea de securitate direct în Magazinul Google Play. Se deschide magazinul, se apasă pe poza de profil din dreapta sus, se alege Setări, iar la secțiunea Despre apare certificarea Play Protect a aparatului.
Articol documentat de redacția HD Satelit din surse publice. Foto: Oliwier Jaszczyszyn (CC BY-SA 4.0).
În complectare, firma Videostrong Technology Co. își are sediul în China (mai exact în Shenzhen, hub-ul tehnologic din provincia Guangdong). Este un caz de lăcomie comercială (supply chain attack): pe lângă banii încasați din vânzarea fizică a aparatelor, producătorul a speculat faptul că echipamentele erau permanent alimentate și conectate la internet pentru a le exploata ulterior în mod invizibil.
Mulțumim pentru completare, Mercur68!