Google heeft samen met partners het XCPE-botnet ontmanteld, dat meer dan 1,3 miljoen Android TV-boxen besmette. De backdoor zat volgens Google bewust in de firmware van een Chinese fabrikant.
Google en een reeks partners hebben vorige week het XCPE-botnet uit de lucht gehaald. Het netwerk telde meer dan 1,3 miljoen settopboxen, voor het overgrote deel Android TV-toestellen. Door ook de servers van criminele partners offline te halen, sluit Google volgens eigen schatting de toegang af tot minstens 10 miljoen andere besmette toestellen.
Een botnet is een netwerk van computers, servers of andere verbonden toestellen die zonder medeweten van hun eigenaar door een aanvaller bestuurd worden. Op commando kunnen duizenden of miljoenen van die zombietoestellen tegelijk één doelwit bestoken met verkeer en zo met een DDoS-aanval een dienst onbereikbaar maken. XCPE diende volgens Google vooral om geld te verdienen, met advertentiefraude en door de toestellen te verhuren als exit node voor proxynetwerken.
Achterpoort in de firmware
De backdoor zat in de systeempartitie van de firmware en draaide met systeemrechten. Gebruikers konden hem niet verwijderen, want bij een herstart installeerde hij zichzelf opnieuw. Om de compatibiliteits- en beveiligingstests van Google te omzeilen, werd de kwaadaardige code pas na de eerste opstart geladen.
Volgens Google ontwikkelde en beheerde Videostrong Technology de backdoor bewust. Het Chinese bedrijf, dat ook Android-toestellen ontwikkelt voor andere merken, verkocht toegang aan criminele partners. Die konden dan eigen malwaremodules op de toestellen laden. De malware zat al meerdere jaren in toestellen van uiteenlopende modellen en merken.
Verbod voor Videostrong
Google analyseerde het netwerk samen met de Japanse nationale politie, Lumen, HUMAN Security, Plume, Synthient en TrendAI. Met juridische stappen haalde het de domeinen en servers offline waarmee Videostrong het botnet aanstuurde. Ook de controleservers van meer dan een dozijn malwarefamilies die via de backdoor binnenkwamen, werden offline gehaald.
Videostrong en eventuele toekomstige dochterbedrijven mogen geen gecertificeerde Android-toestellen meer bouwen of verkopen. Google verscherpt daarnaast de controle op de firmware van gecertificeerde Android TV-toestellen.
Om het botnet blijvend te verstoren, wil Google de infrastructuur erachter blijven aanpakken. De makers van XCPE pasten hun malware na eerdere ingrepen al aan. Consumenten raadt Google aan om settopboxen alleen te kopen bij fabrikanten op de Android TV-partnerlijst.