Uno podría suponer que una caja de Android TV certificada por Google funciona mejor y que, además, está libre de malware. Lo segundo, sin embargo, es falso.
Google acaba de publicar un nuevo informe de Threat Intelligence titulado «Shutting the Door on the XCPE Botnet», en el que revela que 1,3 millones de cajas de TV estaban infectadas con el backdoor XCPE, lo que las integraba en una botnet utilizada para obtener beneficios económicos.
Google considera con un alto grado de confianza que el malware fue desarrollado, desplegado y operado de forma intencionada por Videostrong Technology, un fabricante de cajas de TV al que hemos seguido con frecuencia en el pasado, cuando las cajas de Android TV todavía eran una relativa novedad y en ocasiones podían utilizarse como alternativa a las SBC con Linux.
Al parecer, Videostrong monetizaba el backdoor permitiendo que sus afiliados cargaran módulos de malware en los dispositivos infectados para ejecutar fraudes publicitarios, incorporar las cajas de TV a redes de proxys residenciales y otras actividades similares. Google emprendió acciones legales para desarticular los dominios de mando y control (C2) que gestionan esos módulos de afiliados y calcula que al menos otros 10 millones de dispositivos comprometidos quedarán protegidos frente al malware. La compañía también decidió romper relaciones con Videostrong, lo que no le impedirá seguir fabricando y vendiendo cajas de Android TV, pero ya no podrá preinstalar aplicaciones de Google en los dispositivos y, obviamente, perderá las certificaciones. Nos hemos puesto en contacto con Videostrong para hablar del informe y publicaremos su declaración en cuanto la recibamos.
El malware no se detectó durante las pruebas de seguridad, ya que, según Google, Videostrong recurrió a técnicas de ofuscación para aprovechar un punto ciego de dichas pruebas y cargar el código malicioso solo tras el primer arranque del dispositivo. El proceso de revisión ya se ha modificado para evitar que algo así vuelva a ocurrir en el futuro.
El entramado lleva funcionando al menos desde finales de 2024. El malware presenta una arquitectura en tres etapas y admite módulos de varios afiliados. Esto es lo que se ejecuta en el firmware de Android:
- Backdoor principal – x.cpe viene preinstalado en la partición de firmware y, si el usuario lo elimina, se reinstala automáticamente desde la partición /oem/ al reiniciar. Su función es habilitar la comunicación entre los servidores C2 (ya desmantelados) y el cargador y el motor de ejecución que se describen a continuación.
- Cargador y motor de ejecución – com.abc.nexus configura e inicializa los módulos de monetización y emplea utilidades anti-análisis para evitar la detección en sandbox. Además, puede descargar malware adicional a través de la infraestructura de staging.
- Módulos de monetización – Los desarrollan los clientes o afiliados, no la propia Videostrong. Transforman los dispositivos infectados en nodos de proxy residencial (Linkfog, AppSalt, NetNut…), en motores de fraude publicitario (CBOXTV, HiddenView…) o ejecutan otros módulos de monetización. Estos módulos se conectan a otro conjunto de servidores, los «C2 de módulos», probablemente distintos para cada afiliado.
La comunicación se realiza mediante HTTP y MQTT. Según Google, la mayor parte del malware estaba alojado en GitHub, mientras que el resto se distribuía desde servidores controlados por los operadores y servicios de alojamiento de archivos. El informe de threat intelligence incluye más detalles técnicos, así como una lista de los servicios, sitios web y repositorios de GitHub utilizados.
Aunque hay un gran número de cajas de TV afectadas, no todos los países parecen estarlo. Google ha mitigado el problema, pero el firmware reside en el propio dispositivo infectado y la única forma de eliminarlo es instalar un firmware personalizado para la caja, siempre que exista. Si tienes un dispositivo de Videostrong o MECOOL, lo más probable es que esté infectado. La empresa de seguridad Synthient probó específicamente la caja MECOOL KM9Pro y elaboró una lista no exhaustiva de dispositivos infectados alojada en GitHub.
Gracias a itchy n scratchy y a TLS por el aviso.
Traducido del artículo en inglés «1.3 million Google-certified Android TV boxes found to have malware» de Jean-Luc Aufranc (CNXSoft).
Publicaciones traducidas automáticamente