Google confirma backdoor em caixas Android TV e derruba servidores que controlavam malware

O Google confirmou que cortou relações com a fabricante Videostrong, responsável por caixas Android TV e Google TV certificadas, após descobrir que a empresa embutiu um backdoor nos aparelhos e vendia acesso a ele para distribuição de malware. A gigante também tomou medidas legais para derrubar os servidores que controlavam o botnet XCPE, medida que, segundo a própria, cortou o acesso a pelo menos 10 milhões de dispositivos comprometidos.

A descoberta expõe uma brecha no processo de certificação do Google: os devices passavam pelos testes de segurança, mas carregavam código malicioso só depois do primeiro boot, o que os mantinha longe dos radares de verificação.

Backdoor veio de fábrica e passou pela certificação do Google

Segundo o Google, o malware vinha embutido de fábrica em “muitos modelos e marcas diferentes ao longo de vários anos”, sustentado por uma infraestrutura dedicada e configurações que evoluíam constantemente para escapar da detecção. A empresa afirma que a campanha não foi um caso isolado de um funcionário rebelde ou um descuido de desenvolvimento, mas algo orquestrado pela própria fabricante.

“Um fabricante de dispositivos que infecta intencionalmente seus usuários com malware é uma quebra de confiança inaceitável”, disse o Google em comunicado.

A fabricante usava “técnicas de ofuscação para explorar uma lacuna nos nossos testes e carregar código malicioso após o primeiro boot do dispositivo”, explicou a empresa. O backdoor era então vendido para terceiros, que o usavam para distribuir malware nos aparelhos que passaram na certificação do Google.

Mecool e Videostrong: os dispositivos na mira

A Synthient, em parceria com o The Hacker News, compilou uma lista de dispositivos potencialmente afetados, com destaque para a marca Mecool, conhecida no mercado de caixas Android TV e Google TV. A Mecool, segundo rumores, estaria encerrando suas operações. O Google baniu a Videostrong e suas subsidiárias de vender devices Android certificados e de fornecer software para outros fabricantes certificados.

O Google não divulgou a lista completa de modelos comprometidos, mas afirmou que a infraestrutura do backdoor era usada em “muitos modelos e marcas diferentes”, o que sugere que o alcance do problema vai além de uma única fabricante.

Google toma medidas legais e atualiza testes de segurança

Além de cortar relações com a Videostrong, o Google entrou com ação legal para bloquear os domínios e servidores que a empresa usava para controlar o botnet XCPE e seus módulos de malware. A derrubada desses servidores, segundo o Google, “vai cortar o acesso a pelo menos 10 milhões de dispositivos comprometidos adicionais”.

Para quem já tem em casa uma caixa Android TV ou Google TV potencialmente afetada, a boa notícia é que a derrubada dos servidores deve deixar os aparelhos seguros para uso, sem o servidor de comando, o malware não consegue mais se comunicar nem receber instruções. Ainda assim, o Google recomenda que os donos considerem opções alternativas de dispositivo.

O Google também está atualizando seu processo de revisão de certificação para fechar a brecha que permitiu que o código malicioso passasse pelos testes de fábrica. A empresa não deu detalhes sobre as mudanças, mas afirmou que os novos procedimentos já estão sendo implementados para proteger os usuários contra esse tipo de comportamento.

📲 Segurança de smart TV é um assunto que mexe com todo mundo. Para não perder nenhuma atualização sobre esse e outros casos, entra no Canal do TS no WhatsApp.

Fonte: 9to5Google