Google a démantelé, avec ses partenaires, le botnet XCPE, qui avait infecté plus de 1,3 million de box Android TV. Selon Google, la backdoor était intégrée délibérément dans le firmware d’un fabricant chinois.
Google et plusieurs partenaires ont mis hors service la semaine dernière le botnet XCPE. Le réseau comptait plus de 1,3 million de box TV, en grande majorité des appareils Android TV. En mettant également hors ligne les serveurs de partenaires criminels, Google coupe l’accès, selon ses propres estimations, à au moins 10 millions d’autres appareils infectés.
Un botnet est un réseau d’ordinateurs, de serveurs ou d’autres appareils connectés qu’un attaquant contrôle à l’insu de leur propriétaire. Sur commande, des milliers, voire des millions de ces appareils zombies peuvent bombarder simultanément une même cible de trafic et rendre ainsi un service inaccessible par une attaque DDoS. Selon Google, XCPE servait surtout à gagner de l’argent, par la fraude publicitaire et en louant les appareils comme exit node pour des réseaux proxy.
Une porte dérobée dans le firmware
La backdoor se trouvait dans la partition système du firmware et s’exécutait avec des droits système. Les utilisateurs ne pouvaient pas la supprimer, car elle se réinstallait d’elle-même à chaque redémarrage. Pour contourner les tests de compatibilité et de sécurité de Google, le code malveillant n’était chargé qu’après le premier démarrage.
Selon Google, Videostrong Technology a développé et géré la backdoor de manière délibérée. Cette entreprise chinoise, qui conçoit aussi des appareils Android pour d’autres marques, vendait l’accès à des partenaires criminels. Ceux-ci pouvaient ensuite charger leurs propres modules de malware sur les appareils. Le malware était présent depuis plusieurs années dans des appareils de modèles et de marques très variés.
Interdiction pour Videostrong
Google a analysé le réseau avec la police nationale japonaise, Lumen, HUMAN Security, Plume, Synthient et TrendAI. Par voie judiciaire, il a mis hors ligne les domaines et les serveurs avec lesquels Videostrong pilotait le botnet. Les serveurs de contrôle de plus d’une douzaine de familles de malwares entrées par la backdoor ont également été mis hors ligne.
Videostrong et ses éventuelles futures filiales ne peuvent plus fabriquer ni vendre d’appareils Android certifiés. Google renforce par ailleurs le contrôle du firmware des appareils Android TV certifiés.
Pour perturber durablement le botnet, Google entend continuer à s’attaquer à l’infrastructure qui le sous-tend. Après des interventions précédentes, les créateurs de XCPE avaient déjà adapté leur malware. Google recommande aux consommateurs de n’acheter des box TV que chez des fabricants figurant sur la liste des partenaires Android TV.