Google en partners hebben het XCPE-botnet met meer dan 1,3 miljoen geïnfecteerde Android TV-boxen ontmanteld en fabrikant Videostrong verbannen.
Google en diverse partners hebben het XCPE-malware-botnet ontmanteld, dat bestond uit meer dan 1,3 miljoen Android TV-streamingboxen. Volgens Google heeft de Chinese fabrikant Videostrong Technology Co deze apparaten opzettelijk geïnfecteerd met malware om via cybercriminaliteit inkomsten te genereren.
Google wijst met grote zekerheid Videostrong aan als de verantwoordelijke partij die een persistente achterdeur in de firmware van de apparaten heeft ingebouwd. Deze achterdeur werd vervolgens verkocht aan criminele affiliates die de geïnfecteerde apparaten gebruikten voor advertentiefraude, het inzetten van residential proxies en het installeren van extra malware. Naast het ontmantelen van het botnet heeft Google ook de command-and-control (C2) servers van meer dan een dozijn gerelateerde malwarefamilies uitgeschakeld, waarmee de toegang tot minstens 10 miljoen extra gecompromitteerde apparaten werd afgesloten. Deze apparaten waren via andere malware verspreidingsmethoden geïnfecteerd en omvatten onder meer retail set-topboxen, karaokeapparatuur en telehealth hardware, waarvan niet alle Android-apparaten zijn.
Google heeft de samenwerking met Videostrong beëindigd, de licentie voor het produceren van Android TV-apparaten met vooraf geïnstalleerde Google-apps ingetrokken en het bedrijf en haar toekomstige partners verboden om gecertificeerde Android-apparaten te produceren of software te leveren aan gecertificeerde leveranciers. Volgens Google's Threat Intelligence Group (GTIG) werd de achterdeur en het botnet bewust ontwikkeld en ingezet voor financieel gewin door Videostrong.
De ontmanteling van het botnet gebeurde in samenwerking met Japanse politie en beveiligingsbedrijven zoals Lumen, HUMAN Security, Plume, Synthient en TrendAI, die gezamenlijk de kwaadaardige infrastructuur analyseerden en verstoorden. In tegenstelling tot veel andere botnets die apparaten via kwetsbaarheden of social engineering infecteren, was het XCPE-botnet direct in de firmware van de apparaten ingebouwd tijdens de productie. Videostrong ontwikkelde en verspreidde deze malware jarenlang over verschillende merken en modellen, waarbij de functionaliteit voortdurend werd aangepast om detectie te ontwijken en verschillende criminele affiliates te ondersteunen.
De belangrijkste achterdeurcomponenten, bekend als x.cpe en com.oemservice, draaien met systeemrechten op Android-niveau. De malware heeft een modulaire opbouw waarbij de achterdeur gescheiden is van modules die inkomsten genereren voor de affiliates. Na het opstarten van een geïnfecteerd apparaat maakt XCPE verbinding met een command-and-control server op het domein anyevonline[.]com om verbindingsgegevens en credentials voor een MQTT-berichtbroker te verkrijgen. Deze broker, gehost op mqtt.szbboys[.]com, stelt de operators in staat om opdrachten te sturen en extra malware te installeren. Via deze verbinding kunnen de aanvallers onder meer extra apps installeren, Google Play Protect uitschakelen, shell-commando's uitvoeren, screenshots maken, toetsaanslagen injecteren, account- en apparaatgegevens verzamelen, netwerkverkenning uitvoeren en reverse shells opzetten.
