Michael JohnsonChi possiede un box TV Android con firmware prodotto da Videostrong dovrebbe verificarne la provenienza: il 2 novembre Google ha annunciato di aver interrotto, insieme ai partner, le attività del botnet XCPE, che comprendeva oltre 1,3 milioni di box. Nell’ambito dell’operazione Google ha ottenuto la disattivazione dei server di comando e dei domini dannosi, mentre a Videostrong è stato vietato di produrre dispositivi Android certificati con app Google preinstallate. Google ha descritto l’operazione come una risposta a una backdoor incorporata nel firmware di diversi modelli.
Che cosa è stato disattivato
Secondo il Google Threat Intelligence Group, XCPE utilizzava un componente incorporato nel firmware, x.cpe. Il componente si collegava a un server di comando, riceveva istruzioni e scaricava moduli aggiuntivi. Google ha riferito di aver intrapreso azioni legali contro i domini e i server attraverso i quali Videostrong gestiva il botnet e installava componenti dannosi, nonché contro i domini di comando di oltre una dozzina di famiglie di malware.
All’operazione hanno partecipato l’Agenzia nazionale di polizia giapponese, Lumen, HUMAN Security, Plume, Synthient e TrendAI. Google ha inoltre dichiarato di aver vietato a Videostrong, alle sue future controllate e alle società affiliate di produrre e vendere dispositivi Android certificati e di fornire software ad altri produttori certificati. L’azienda ha riferito di aver apportato modifiche ai controlli d’integrità del firmware di Android TV.
La formula «ha interrotto le attività» è più precisa della promessa di ripulire immediatamente ogni televisore. Google descrive lo smantellamento dell’infrastruttura di comando e dei domini associati; la pubblicazione non parla di una correzione remota del firmware su tutti i box già venduti. Disattivare i server priva gli operatori di importanti canali di comando e distribuzione dei moduli, ma non riscrive di per sé il software già installato.
Perché l’infezione sopravviveva al riavvio
Il componente dannoso si trovava nella partizione di sistema del firmware. Google scrive che x.cpe veniva eseguito con privilegi di sistema e poteva ripristinare la propria copia dopo un riavvio, se l’utente eliminava l’app dalla normale partizione dei dati. Perciò cercare e rimuovere un’app sospetta dalle impostazioni di Android non garantiva la bonifica del box.
La backdoor manteneva una connessione persistente con l’infrastruttura di comando e poteva ricevere istruzioni per installare app di nascosto, avviare una shell e raccogliere dati. Google ha riferito di aver osservato acquisizione di schermate, immissione di comandi, trasmissione di informazioni sugli account e sul sistema e avvio di script. I moduli scaricati trasformavano i dispositivi in nodi di reti di proxy residenziali o li usavano per frodi pubblicitarie; alcuni moduli installavano ulteriore malware.
In questo modo un normale box TV diventava parte dell’infrastruttura di rete di qualcun altro. Il traffico che passa attraverso la connessione domestica può sembrare generato dall’utente, anche se il dispositivo sta in realtà eseguendo i comandi di un operatore remoto. Tra gli obiettivi individuati, Google ha citato anche le visualizzazioni pubblicitarie fraudolente e la trasmissione di dati.
Che cosa dovrebbe fare chi possiede un box
Per prima cosa, verificate marca e modello esatti del dispositivo, il produttore del firmware e le informazioni sulla certificazione. Il nome del marchio, da solo, non conferma un’infezione: Google parla di numerosi modelli e marchi nei quali era presente software di Videostrong, perciò contano soprattutto la provenienza del dispositivo e il firmware. Confrontate le informazioni con l’elenco aggiornato dei partner ufficiali di Android TV e con i documenti del venditore o del produttore.
Se non riuscite a stabilire la provenienza del dispositivo o se appartiene all’ecosistema interessato, scollegate il box dalla rete e contattate il venditore o il produttore per chiedere istruzioni verificate sulla sostituzione o sulla reinstallazione del firmware. Non considerate il ripristino delle impostazioni di fabbrica o la rimozione delle app una soluzione sufficiente per un componente che, secondo la descrizione di Google, è conservato nel firmware di sistema e si ripristina dopo il riavvio. Non installate immagini firmware trovate casualmente nei forum: un’immagine errata può rendere inutilizzabile il dispositivo o introdurre nuovi rischi.
Se avete usato il box per accedere ad account o per visualizzare informazioni personali, controllate l’attività degli account da un altro dispositivo affidabile e cambiate le password se notate accessi sospetti. Questa misura protegge gli account: non ripulisce il box, quindi la decisione su come intervenire sul dispositivo va presa separatamente.
Che cosa resta dopo l’operazione
Google associa XCPE all’installazione deliberata e all’uso commerciale della backdoor di Videostrong. L’azienda stima inoltre che la disattivazione dei domini di comando dei moduli correlati possa privare dell’accesso oltre 10 milioni di altri dispositivi compromessi al di fuori di XCPE. È una stima di Google sul possibile effetto delle misure contro l’infrastruttura condivisa, non un numero confermato di dispositivi bonificati.
Per gli utenti, il risultato pratico principale è semplice: se il box proviene da una fonte sconosciuta o usa firmware Videostrong, rimuovere le app e riavviarlo non offre una garanzia attendibile che sia pulito. Verificare modello e provenienza, e poi sostituire il dispositivo o ripristinare il firmware seguendo istruzioni verificate, è una scelta più fondata che tentare di rimuovere manualmente un singolo componente visibile.
