Una backdoor nascosta in oltre un milione e 300 mila dispositivi Android avrebbe permesso a un produttore cinese di trasformarli in strumenti per attività informatiche illecite, senza che i proprietari ne fossero consapevoli. A individuare e smantellare l'infrastruttura è stata Google, che ha attribuito la responsabilità a Videostrong Technology Co., società con sede a Shenzhen, in Cina.
L'azienda avrebbe integrato il codice malevolo direttamente nei dispositivi commercializzati con diversi marchi, sfruttandoli per frodi pubblicitarie, sottrazione di dati e instradamento di traffico di rete non autorizzato. Google ha dichiarato di aver interrotto i rapporti con il produttore, che non potrà più realizzare o vendere dispositivi Android certificati né fornire software destinato a questi prodotti.
Come funzionava la botnet nascosta nei dispositivi Android
Secondo le indagini del gruppo Threat Intelligence di Google, la backdoor e la botnet sarebbero state sviluppate e gestite intenzionalmente per ottenere profitti. Videostrong avrebbe infatti venduto l'accesso ai dispositivi compromessi a gruppi criminali, consentendo loro di installare ulteriori moduli malware. Questi componenti venivano utilizzati per generare traffico pubblicitario fraudolento, inserire silenziosamente i dispositivi in reti di proxy residenziali e distribuire altro software malevolo. In quest'ultimo caso, i dispositivi infetti diventavano una risorsa a disposizione di soggetti esterni, che potevano sfruttare la loro connessione Internet e il loro indirizzo IP per attività non autorizzate.
L'infezione non riguardava un singolo modello o una specifica marca. Google ha individuato il codice malevolo integrato in numerosi dispositivi prodotti nel corso di diversi anni. La maggior parte erano TV box basati su Android, ma l'elenco comprendeva anche altri prodotti IoT, tra cui apparecchi per la telemedicina, macchine per il karaoke e schermi per la segnaletica digitale.
La tecnica utilizzata rendeva particolarmente difficile individuare la minaccia. Videostrong avrebbe sfruttato tecniche di offuscamento per caricare il malware dopo il primo avvio dell'hardware, nascondendolo quindi all'interno della procedura di inizializzazione del dispositivo. Gli utenti potevano continuare a utilizzare normalmente i prodotti senza accorgersi che fossero entrati a far parte di una rete controllata da terzi.
Google afferma di aver disattivato i domini di comando e controllo, ovvero i server utilizzati per impartire istruzioni ai moduli malevoli e gestire le attività dei dispositivi infetti. L'intervento dovrebbe interrompere anche l'accesso a ulteriori 10 milioni di dispositivi compromessi, secondo le stime dell'azienda. Questi ultimi sarebbero raggiungibili attraverso canali di distribuzione indipendenti utilizzati dagli affiliati criminali, non necessariamente legati a Videostrong.
Oltre a interrompere la collaborazione con Videostrong, Google ha dichiarato di aver modificato le procedure di revisione applicate ai produttori di dispositivi Android. L'obiettivo è individuare più efficacemente eventuali componenti malevoli integrati nel software prima che i prodotti arrivino sul mercato.
