Google demască o reţea de 1,3 milioane de dispozitive Android infectate cu un backdoor instalat din fabrică

Google susţine că unul dintre partenerii săi din industria producătoare de dispozitive Android a instalat în secret un backdoor pe aproximativ 1,3 milioane de aparate, transformându-le într-o reţea botnet. Compania anunţă că a reuşit să neutralizeze această ameninţare şi că a întrerupt orice colaborare cu producătorul implicat, compania chineză Videostrong Technology Co., cu sediul în Shenzhen.

Mai mult, Videostrong a fost exclusă din programul producătorilor autorizaţi Android, fiindu-i interzis să mai fabrice sau să comercializeze dispozitive certificate Android şi să furnizeze software pentru acestea.

Potrivit Google, dispozitivele compromise au fost utilizate fără ştirea proprietarilor pentru diverse activităţi maliţioase, printre care frauda publicitară, extragerea neautorizată de date şi redirecţionarea traficului de reţea.

Investigaţia companiei indică faptul că backdoor-ul şi reţeaua botnet nu au fost rezultatul unei breşe accidentale de securitate, ci au fost dezvoltate şi operate intenţionat, cu scopul obţinerii de câştiguri financiare.

Google afirmă că Videostrong a transformat accesul la dispozitivele compromise într-o sursă de venit, comercializând accesul către grupări infracţionale şi instalând pe aparatele infectate module software maliţioase furnizate de acestea.

Aceste module secundare erau folosite pentru:

• Generarea de fraude publicitare, prin intermediul dispozitivelor compromise.
• Înrolarea discretă a aparatelor în reţele de proxy rezidenţiale, prin care traficul putea fi redirecţionat fără acordul proprietarilor.
• Instalarea unor programe malware suplimentare pe dispozitivele deja compromise.

Google precizează că a intervenit şi asupra domeniilor de comandă şi control (C2) utilizate pentru administrarea acestor module maliţioase. Potrivit estimărilor companiei, blocarea infrastructurii respective ar putea întrerupe accesul atacatorilor la cel puţin alte 10 milioane de dispozitive compromise.

Problema nu a vizat un singur model de aparat. Google susţine că malware-ul a fost integrat direct în numeroase modele şi mărci de dispozitive, comercializate pe parcursul mai multor ani.

Cele mai multe dintre aparatele afectate erau TV Box-uri cu Android, însă investigaţia a identificat şi alte categorii de echipamente IoT bazate pe sistemul de operare Google, inclusiv dispozitive utilizate în servicii de telemedicină, aparate de karaoke şi sisteme de afişaj digital.

Un aspect deosebit de îngrijorător este metoda prin care malware-ul ajungea să fie activat. Conform Google, Videostrong a utilizat tehnici de obfuscare pentru a încărca programele maliţioase pe dispozitive după prima pornire a acestora. Cu alte cuvinte, aparatele puteau părea perfect funcţionale şi sigure la achiziţie, în timp ce compromiterea avea loc în timpul procesului iniţial de configurare şi utilizare.

În urma incidentului, Google afirmă că a modificat şi procedurile de verificare şi evaluare a producătorilor de dispozitive Android, pentru a preveni repetarea unor situaţii similare.

Cazul ridică semne serioase de întrebare privind securitatea dispozitivelor Android produse de terţi, în special a echipamentelor TV Box şi IoT provenite de la producători mai puţin cunoscuţi. Spre deosebire de atacurile informatice obişnuite, în care utilizatorul poate instala accidental o aplicaţie periculoasă, aici compromiterea ar fi fost introdusă chiar în procesul de fabricaţie sau distribuţie a software-ului dispozitivului.