Mucho ojo si tienes un TV box con Android en tu casa. Google descubrió que un fabricante de dispositivos certificados con Android TV y Google TV instaló una puerta trasera que se usó para distribuir malware y controlar la red de bots XCPE. Se calcula que existen millones de aparatos impactados por esta situación, vinculados con una empresa llamada Videostrong.
Según explican los de Mountain View, Videostrong fabricaba modelos de TV box con Android que llegaban desde fábrica con una puerta trasera destinada a fines maliciosos. La empresa indica que los acusados vendían el uso de ese backdoor para cargar malware y controlar los aparatos de forma remota a través de botnets.
Uno de los socios de Google para desmantelar esta operación fue Synthient, que descubrió que la brecha de seguridad en los TV box con Android de Videostrong otorgaba a los hackers privilegios a nivel de sistema. Esto permitía llevar a cabo todo tipo de acciones, desde la gestión de archivos hasta la ejecución de código de forma remota.
La campaña atribuida a Videostrong no se limita a una marca o a un modelo de TV box con Android en particular. Los investigadores han señalado que los registros de la botnet XCPE están presentes en modelos que se venden bajo la denominación Mecool y YokaTV, entre otros.
“Videostrong monetizó la puerta trasera vendiendo acceso a afiliados delictivos e instalando los módulos de malware de dichos afiliados en los dispositivos infectados. Estos módulos secundarios llevaban a cabo fraudes publicitarios, incorporaban de forma silenciosa los dispositivos infectados a redes de proxies residenciales e instalaban malware adicional en los dispositivos comprometidos por XCPE. Asimismo, tomamos medidas para desmantelar los dominios de comando y control (C2) que operan estos módulos de los afiliados”, indica Google.
Google desmantela una puerta trasera en millones de TV box con Android TV y Google TV
El uso de dispositivos tipo TV box con Android para distribuir malware no es nuevo. Los actores maliciosos suelen aprovechar esta plataforma debido a su popularidad para acceder a servicios pirateados, tanto de streaming como de eventos deportivos. El caso de Videostrong es una mancha particularmente notoria para Google. Esto, porque la empresa era tanto un fabricante de equipos originales (OEM) como un fabricante de diseños originales (ODM) con Android.
Al producir equipos con Android TV o Google TV certificados, Videostrong podía precargar las apps de Google en los aparatos. Esto le daba una legitimidad mayor a los productos que comercializaba y que en los últimos años se hicieron especialmente conocidos en el mundo. Algunas de las marcas de TV box con Android impactadas por esta puerta trasera se volvieron populares en países como México, Brasil, Alemania, Malasia, Estados Unidos y China, indica Synthient.
Si bien Google habla de que alrededor de 1,3 millones de TV box con Android de Videostrong fueron infectados y utilizados en la botnet XCPE, el número de dispositivos afectados sería mucho mayor. Los californianos calculan que serían más de 10 millones los aparatos comprometidos por esta puerta trasera.
Todas las miradas sobre Videostrong
Al ser Videostrong el fabricante de dispositivos con Android certificados, sus TV box tienen que pasar por un proceso de evaluación de Google. De acuerdo con la compañía, los actores maliciosos tomaron medidas para ocultar la puerta trasera durante las pruebas de seguridad.
“Google exige a los fabricantes de equipos originales (OEM) que se sometan a un conjunto exhaustivo de pruebas de compatibilidad y seguridad para garantizar una experiencia de usuario coherente y segura en todo el ecosistema Android. Sin embargo, Videostrong empleó técnicas de ofuscación para aprovechar una laguna en nuestras pruebas y cargar código malicioso tras el primer arranque del dispositivo. Como resultado, Google ha introducido cambios en su proceso de revisión actual para protegerse mejor frente a actividades similares en el futuro. Que un fabricante de dispositivos infecte deliberadamente a sus usuarios con software malicioso constituye una ruptura de la confianza inaceptable y representa un grave riesgo para dichos usuarios. Sin el conocimiento ni el consentimiento de los usuarios, los dispositivos infectados se utilizaron como mecanismo de distribución para diversos actores delictivos. Esto dio lugar a una serie de actividades maliciosas llevadas a cabo en los dispositivos (o a través de ellos), tales como el fraude publicitario, la exfiltración de datos y el enrutamiento de tráfico de red malicioso a través de dichos dispositivos”.
Google ha tomado varias medidas para desactivar la puerta trasera de Videostrong en sus TV box con Android. Entre ellas, el desmantelamiento de los servidores y los dominios que se usaban para instalar malware y controlar la botnet XCPE, como también para manejar las acciones de comando y control, al igual que la distribución de otras familias de software malicioso.
Asimismo, los de Mountain View han vetado a Videostrong y a cualquier filial o subsidiara (existente o futura) de fabricar y comercializar dispositivos Android certificados. Pero esto no es todo: la empresa tampoco podrá vender software a otros fabricantes certificados.
Tanto Synthient como Google Threat Intelligence han publicado reportes técnicos que abordan en profundidad esta campaña y sus implicaciones. Los investigadores instan a los usuarios de estos TV box con Android a inspeccionarlos y/o dejar de usarlos, aunque la realidad puede ser más compleja. De hecho, aún no se sabe qué sucederá con las unidades de las marcas involucradas que se estén comercializando a través de revendedores.
Seguir leyendo: Tu TV box con Android podría traer malware de fábrica: Google desactiva una puerta trasera en millones de dispositivos
About the Author
