Google derruba botnet XCPE que controlava 1,3 milhão de dispositivos
Empresa afirma que fabricante Videostrong embutiu backdoor em firmware e vendeu acesso a criminosos; aparelhos continuam infectados sem atualização do fabricante.
O Google coordenou nesta segunda-feira uma ação legal que derrubou domínios de comando e controle do botnet XCPE e cortou o acesso dos operadores a pelo menos 10 milhões de dispositivos comprometidos.
A empresa diz ter alta confiança de que a fabricante com sede em Shenzhen, Videostrong, embutiu intencionalmente o backdoor XCPE no firmware e vendeu o acesso a afiliados criminosos para fraudes publicitárias, uso como proxies residenciais, roubo de dados e instalação de mais malwares.
Pesquisadores identificaram mais de 1,3 milhão de set-top boxes Android TV inscritos no XCPE e associaram o backdoor a múltiplos modelos, marcas e até a hardware Android que não é TV.
O XCPE opera com privilégios do sistema Android, reinstala-se a partir de uma partição protegida /oem após reinicialização, desativa as verificações do Play Protect e, por isso, não pode ser removido de forma confiável pelos usuários sem atualização de firmware do fabricante ou substituição do aparelho.
Em resposta, o Google revogou os direitos de certificação da Videostrong, reforçou checagens de revisão e integridade de firmware, e trabalhou com a Agência Nacional de Polícia do Japão e empresas de segurança para publicar indicadores técnicos e mitigações provisórias para redes e organizações.
Usuarios afetados devem procurar atualizações oficiais do fabricante ou considerar substituir os aparelhos; medidas temporárias e coordenadas publicadas pelas empresas de segurança podem ajudar a reduzir riscos até que haja correções permanentes.