Ci sono oggetti che promettono di portare il mondo in salotto e che invece, nel momento in cui vengono accesi per la prima volta, iniziano a servire scopi che nessun acquirente aveva scelto. Google ha smantellato la botnet XCPE, una rete di oltre 1,3 milioni di box Android TV infettati fin dal firmware di fabbrica dal produttore cinese Videostrong, e il caso mostra quanto possa essere fragile la fiducia che riponiamo in ciò che entra nelle nostre case. Più che un attacco dall'esterno, è un tradimento lungo la catena di fornitura, che ricorda come la sicurezza digitale dipenda anche da chi cost
Botnet XCPE da 1,3 milioni di box Android TV: il produttore Videostrong aveva inserito una backdoor di proposito
La backdoor resta nel codice dei dispositivi già nelle case degli utenti
Mark
Perché questo caso è diverso dalle solite botnet?
Mimi
Perché la backdoor non l'avrebbe messa un attaccante esterno: l'avrebbe inserita il produttore, Videostrong, direttamente nel firmware di fabbrica.
Mark
E come passava inosservata?
Mimi
Si attivava dopo la prima accensione, eludendo i controlli di integrità di Google. Per questo ora Google ha aggiornato la scansione del firmware.
Luke
Fermiamoci un attimo: che sia stato il produttore a volerlo è la ricostruzione di Google. Nel testo si dice "avrebbe", e non vedo riportata una replica di Videostrong.
Mark
Giusto. A cosa serviva la botnet?
Mimi
Gli affiliati pagavano l'accesso per usare i box come proxy, riprodurre annunci in background e generare traffico verso siti. C'erano anche screenshot e furto di dati di sistema.
Luke
Il numero, 1,3 milioni, è quello annunciato da Google. E tra i marchi è citato solo MECOOL: non sappiamo quali altri prodotti siano coinvolti.
Mark
Gli utenti sono al sicuro adesso?
Mimi
Non del tutto. I server sono giù, ma la backdoor resta nel codice dei dispositivi già venduti.
Luke
E su come verranno bonificati, la fonte non dice nulla. È una questione aperta.
Der Puls
- Un box appena acceso per la prima volta diventa, senza che nessuno se ne accorga, parte di una rete di 1,3 milioni di dispositivi.
- La backdoor non arriva da hacker: è stata inserita di proposito dal produttore Videostrong nel firmware di fabbrica.
- Il malware si attiva solo dopo la prima accensione, aggirando i controlli di sicurezza di Google.
- Gli affiliati criminali affittano l'accesso alla botnet per frodi pubblicitarie, proxy illeciti e traffico web falsato.
- Google ha smantellato i server di comando e bandito Videostrong dalla certificazione Android, ma il codice resta nelle case degli utenti.
Ci sono oggetti che promettono di portare il mondo in salotto e che invece, nel momento in cui vengono accesi per la prima volta, iniziano a servire scopi che nessun acquirente aveva scelto. Google ha smantellato la botnet XCPE, una rete di oltre 1,3 milioni di box Android TV infettati fin dal firmware di fabbrica dal produttore cinese Videostrong, e il caso mostra quanto possa essere fragile la fiducia che riponiamo in ciò che entra nelle nostre case. Più che un attacco dall'esterno, è un tradimento lungo la catena di fornitura, che ricorda come la sicurezza digitale dipenda anche da chi costruisce gli strumenti che usiamo ogni giorno. La rimozione dei server chiude la fase attiva, ma la questione di ciò che resta dentro i dispositivi già venduti è ancora aperta.
Un box Android TV tolto dalla scatola, collegato al televisore e acceso per la prima volta: è in quel momento che, secondo il Threat Intelligence Group di Google, oltre 1,3 milioni di dispositivi in tutto il mondo hanno iniziato a fare qualcosa di diverso dalla normale configurazione. Google ha condotto un'operazione internazionale per smantellare la botnet XCPE, costruita proprio su quegli apparecchi.
Il punto più inquietante riguarda l'origine. La backdoor non è stata introdotta da hacker che hanno sfruttato una falla, ma dall'azienda che i dispositivi li ha fabbricati: Videostrong Technology, produttore OEM di Shenzhen, i cui prodotti vengono venduti a terzi o rimarchiati. Il codice malevolo era nel firmware di fabbrica e si attivava in silenzio dopo la prima accensione, eludendo i controlli di integrità di Google.
Una volta attivi, i box venivano affittati ad affiliati criminali che li usavano come proxy per traffico illecito, per riprodurre annunci in background e per gonfiare le visite ai siti. Tra i dispositivi colpiti ci sarebbero anche player per il digital signage, apparecchi per il karaoke e strumenti per la telemedicina.
L'intervento di Google e dei partner di sicurezza ha spento i server di comando e interrotto il contatto con i dispositivi infetti. Google ha inoltre escluso Videostrong dalla certificazione Android a tempo indeterminato e ha rafforzato la scansione automatica del firmware.
Rimane però una domanda aperta: la backdoor è ancora nel codice dei box già acquistati. Fermare i server ha fermato l'attacco, non la presenza del malware nelle case degli utenti, e la bonifica di quei dispositivi è la sfida che resta.
Un box Android TV appena tolto dalla scatola, collegato al televisore e acceso per la prima volta: è in quel momento, secondo il Threat Intelligence Group di Google, che per oltre 1,3 milioni di dispositivi in tutto il mondo ha preso il via qualcosa di diverso dalla normale configurazione. Google ha annunciato di aver condotto un'operazione internazionale per smantellare la botnet XCPE, un'infrastruttura malware costruita su quei apparecchi.
Il dato che rende il caso particolare riguarda l'origine. La backdoor non sarebbe stata opera di hacker esterni che hanno sfruttato una falla, ma dell'azienda che i dispositivi li ha fabbricati: Videostrong Technology Co., produttore OEM con sede a Shenzhen, in Cina, che realizza box Android TV e dispositivi IoT, anche con certificazione Google. Questi prodotti vengono venduti a terzi o rimarchiati. L'unico marchio citato esplicitamente da Google è MECOOL.
Il report descrive quindi una frode lungo la catena di fornitura, e non il solito sfruttamento di vulnerabilità non corrette. Videostrong avrebbe integrato di proposito il codice malevolo nel firmware di fabbrica. La backdoor si attivava di nascosto dopo la prima accensione, aggirando i controlli di integrità di Google.
Una volta attivo, ogni box entrava a far parte della botnet. I gestori ne vendevano poi l'accesso ad affiliati criminali, che ricavavano profitti illeciti in più modi: usando il dispositivo come proxy per instradare traffico illecito, riproducendo annunci pubblicitari in background per gonfiare le entrate, oppure generando traffico verso siti web per aumentarne le visite. Le funzioni di command and control consentivano inoltre di scattare screenshot, sottrarre dati di sistema e installare altre applicazioni malevole.
I dispositivi coinvolti non sono soltanto box per la televisione. Tra quelli colpiti ci sarebbero anche player per il digital signage, apparecchi per il karaoke e dispositivi per la cosiddetta telemedicina.
L'intervento di Google e dei partner di sicurezza ha permesso di smantellare i server che gestivano la botnet, neutralizzando quelli centrali che inviavano gli ordini e tagliando il contatto con i dispositivi infetti. Le attività della botnet si sono fermate. Ma l'azione sui server non cancella la backdoor, che resta nel codice dei dispositivi già acquistati e presenti nelle case degli utenti.
La risposta di Google verso il produttore è stata severa: Videostrong, e qualsiasi sua futura controllata, è bandita a tempo indeterminato dalla produzione e dalla certificazione di dispositivi Android e dalla distribuzione di software ai partner ufficiali. Google ha anche aggiornato i propri protocolli di test e la scansione automatizzata del firmware, in modo da individuare modifiche malevole che avvengono dopo la prima configurazione del sistema.
Resta da vedere come si arriverà a bonificare i box già venduti: finora la notizia riguarda lo smantellamento dei server e le sanzioni al produttore, non la rimozione della backdoor dalle case degli utenti.
Bemerkenswerte Zitate
Videostrong avrebbe integrato deliberatamente il codice malevolo nel firmware di fabbrica dei propri dispositivi.— Report del Threat Intelligence Group di Google, come riportato da DDay.it
Möchten Sie die ganze Geschichte?
Das Original lesen bei DDay.it ↗
Technology