Desmantelamento de Botnet: 1,3 Milhão de TV Boxes Comprometidas

Uma operação conjunta entre empresas de tecnologia e a polícia japonesa desmantelou uma botnet que era predominantemente composta por TV boxes. Essa rede, impressionantemente, contava com 1,3 milhão de dispositivos Android espalhados por mais de 200 países, incluindo o Brasil.

A investigação foi liderada por grandes nomes como Google, Lumen, Human Security, Plume, Synthient e TrendAI, em colaboração com a Agência Nacional de Polícia do Japão. Em um comunicado, o Google esclareceu que o malware conhecido como XCPE foi intencionalmente desenvolvido e operado pela fabricante chinesa Videostrong, com o objetivo de gerar lucros financeiros.

A Videostrong é conhecida por fabricar TV boxes, projetores e outros dispositivos Android que são vendidos sob diversas marcas. Durante a investigação, ficou claro que o XCPE era inserido no firmware dos produtos antes mesmo de chegarem aos consumidores.

Assim que os dispositivos se conectavam à internet, eles se comunicavam com servidores controlados pelos operadores da botnet. O Google revelou que a Videostrong vendia acesso a esses aparelhos comprometidos para outros grupos, que, por sua vez, podiam instalar módulos adicionais de malware. O uso mais comum desses dispositivos era para fraudes publicitárias e como proxies residenciais.

Falando em proxies, a conexão de internet das vítimas era utilizada para redirecionar tráfego de terceiros. Isso significava que as atividades criminosas pareciam originar-se de endereços IP de residências comuns, dificultando a rastreabilidade.

A investigação também revelou que os operadores do XCPE possuíam ferramentas que lhes permitiam executar comandos diretamente nos aparelhos. Com isso, podiam instalar e remover aplicativos, fazer capturas de tela e extrair informações de contas e do sistema.

Além da infraestrutura diretamente ligada ao XCPE, a operação também focou em servidores que eram utilizados por grupos que espalhavam malware através de um backdoor. Esses grupos não se limitavam apenas às TV boxes, e, portanto, segundo o Google, a derrubada dos servidores poderia ter interrompido o acesso a pelo menos mais 10 milhões de dispositivos comprometidos.

Como resultado dessa ação, o Google também decidiu romper relações com a Videostrong. A fabricante e suas futuras subsidiárias ou afiliadas estão proibidas de produzir dispositivos que venham com aplicativos do Google pré-instalados, além de não poderem fornecer software a outros fabricantes certificados.

O Google ainda informou que alterou seu processo de análise de firmware, após descobrir que a Videostrong utilizava técnicas para ocultar o código durante os testes, carregando-o apenas após a primeira inicialização do dispositivo.

Embora a derrubada dos servidores não elimine o XCPE dos dispositivos afetados, a investigação apontou que, mesmo que o usuário tente removê-lo, o malware pode ser reinstalado automaticamente ao reiniciar o aparelho. Contudo, essa ação interrompe a comunicação e impede o controle e a monetização dos dispositivos da botnet.

Além das TV boxes e dispositivos IoT, os pesquisadores também encontraram o XCPE em outros aparelhos Android, como projetores e máquinas de karaokê. No entanto, a maioria da botnet era composta por set-top boxes de TV.

Atualizado há menos de 1 hora

O Google anunciou que vai revisar alguns dos testes de segurança e parâmetros para evitar novos episódios de malware em dispositivos Android. A proibição de vender novos aparelhos com aplicativos do Android envolve não apenas a Videostrong, mas também suas subsidiárias. Um relatório da empresa Synthient identificou que a marca Mecool, responsável por projetores e TV boxes, seria uma das afetadas, embora ainda não haja uma lista específica de aparelhos comprometidos.