Google afirma que uno de sus socios fabricantes de Android incorporó una puerta trasera en 1.3 millones de dispositivos, según informó primero The Verge. Sin que sus propietarios lo supieran, los dispositivos infectados se utilizaron para cometer fraude publicitario, exfiltrar datos y enrutar tráfico de red no autorizado. Google asegura que desmanteló la puerta trasera y rompió sus vínculos con el fabricante.
Videostrong Technology Co., con sede en Shenzhen, China, tiene prohibido fabricar o vender dispositivos Android certificados, así como suministrarles software.
La mayoría de los dispositivos afectados eran decodificadores Android TV, pero se descubrió que el malware estaba integrado directamente en muchos modelos y marcas de dispositivos a lo largo de varios años. Entre los equipos afectados también había dispositivos IoT basados en Android, como dispositivos de telesalud, máquinas de karaoke y dispositivos de cartelería digital.
Google afirma que Videostrong monetizó la puerta trasera vendiendo acceso a afiliados criminales e instalando sus módulos de malware en los dispositivos infectados. Esos módulos cometían fraude publicitario, incorporaban silenciosamente los dispositivos infectados a redes de proxies residenciales e instalaban malware adicional en dispositivos comprometidos por XCPE.
Google describió la puerta trasera y la botnet como sistemas desarrollados, desplegados y operados deliberadamente con fines lucrativos. También afirma que Videostrong utilizó técnicas de ofuscación para instalar malware en los dispositivos de los usuarios después de que estos encendieran el hardware por primera vez.
El incidente abarca malware integrado en varias categorías de hardware y módulos de afiliados que operaban a través de dominios de comando y control.
Google afirma que tomó medidas para interrumpir los dominios de comando y control (C2) que operan los módulos de afiliados. También dice que, tras el incidente, modificó su proceso de revisión de fabricantes de dispositivos.
Google estima que la clausura de esos dominios cortará el acceso a al menos 10 millones de dispositivos comprometidos adicionales, ya que los afiliados han diversificado los canales de distribución de sus módulos más allá de XCPE.