Google ha annunciato di aver smantellato una vasta botnet denominata XCPE, costituita da oltre 1,3 milioni di set-top box Android compromessi distribuiti in tutto il mondo. La società ha identificato il produttore coinvolto nella diffusione del malware come la cinese Videostrong Technology Co., con sede a Shenzhen, affermando che l’azienda ha agito intenzionalmente per profitto finanziario.
Secondo il comunicato di Google, la botnet XCPE era progettata per generare guadagno attraverso attività illecite. “Il backdoor e la botnet sono stati intenzionalmente sviluppati, distribuiti e operati per guadagno finanziario”, ha dichiarato la società. Tra le attività condotte dai dispositivi compromessi figuravano frodi pubblicitarie, esfiltrazione di dati e instradamento di traffico di rete non autorizzato, con l’obiettivo di monetizzare l’infrastruttura compromessa. La campagna non è stata considerata un errore isolato, ma parte di un ecosistema di operazioni criminali interconnesse.
La compromissione avveniva attraverso una backdoor incorporata direttamente nel firmware dei dispositivi, una componente software essenziale che consente l’avvio e il funzionamento del sistema operativo. Sfruttando tecniche di offuscamento, la backdoor caricava altri moduli malware solo dopo il primo avvio del dispositivo, rendendo difficile la rilevazione durante i test di sicurezza standard. La botnet includeva non solo set-top box per la televisione, ma anche altri dispositivi IoT Android, tra cui soluzioni per telehealth, karaoke e digital signage.
Per contrastare la minaccia, Google ha interrotto i domini di comando e controllo (C2) utilizzati per gestire i moduli malware e ha avviato azioni legali per smantellare i domini e i server utilizzati da Videostrong per operare la botnet. La società ha inoltre interrotto ogni legame con il produttore cinese, vietando alla compagnia di produrre dispositivi con app Google preinstallate.
Google ha collaborato con la National Police Agency del Giappone e con società specializzate in sicurezza informatica come Lumen, HUMAN Security, Plume, Synthient, TrendAI e altri partner per individuare e disattivare la rete di dispositivi compromessi. Secondo la società, questa operazione permetterà di interrompere le attività criminali e l’accesso a oltre 10 milioni di dispositivi compromessi.
“Un produttore di dispositivi che infetta intenzionalmente i propri utenti con malware è una violazione inaccettabile della fiducia”, ha affermato Google nel comunicato, sottolineando l’importanza della fiducia degli utenti verso i produttori di dispositivi e i sistemi di protezione.