Google veta al fabricante de las cajas con malware

Seguimiento de Las cajas Android TV traían el malware de fábrica, publicada el 3 de noviembre.

Google ha prohibido a Videostrong Technology fabricar dispositivos con las aplicaciones de Google preinstaladas. Es la principal consecuencia para el fabricante chino al que el gigante atribuye la botnet XCPE, cuyo desmantelamiento contamos esta mañana: más de 1,3 millones de cajas Android TV que salían de fábrica con una puerta trasera para alquilar su conexión como proxy residencial, cometer fraude publicitario y robar datos.

Según recoge SecurityWeek, Google cree que se trató de una operación deliberada de la empresa, no de un empleado por libre ni de un descuido en el desarrollo. Por eso el castigo recae sobre Videostrong como fabricante.

Cómo se coló por los controles de Google

La compañía reconoce un fallo en su propio sistema de certificación. «Google exige a los fabricantes superar un amplio conjunto de pruebas de compatibilidad y seguridad para garantizar una experiencia coherente y segura en todo el ecosistema Android. Sin embargo, Videostrong empleó técnicas de ofuscación para aprovechar un hueco en nuestras pruebas y cargar código malicioso después del primer arranque del dispositivo», explica.

El malware tenía tres fases: una puerta trasera principal alojada en la partición /oem/, que le permitía persistir; un cargador y motor de ejecución, y los módulos con los que los clientes de Videostrong sacaban dinero de los aparatos, capaces a su vez de instalar más puertas traseras. Google dice haberlo encontrado en muchos modelos y marcas distintos durante varios años, con infraestructura propia y configuraciones que cambiaban para esquivar la detección.

Además de cajas de televisión, había aparatos de telemedicina, máquinas de karaoke y pantallas de señalización digital.

Una operación con policía y empresas

Google emprendió acciones legales para tumbar los dominios y servidores de la botnet y también los de los módulos de terceros. Contó con la Agencia Nacional de Policía de Japón y con Lumen, Human Security, Plume, Synthient y TrendAI.

La propia Google rebaja las expectativas: cree haber golpeado a más de una docena de actores, pero advierte de que el mercado es resistente. «Los operadores de puertas traseras, las redes de fraude publicitario y los proveedores de proxies residenciales funcionan como una cadena de suministro interconectada, y cuando se interrumpe un eslabón, se pasan rápidamente a nuevos cargadores o a SDK de monetización rivales», señala.

Lo que no cambia

El veto afecta a lo que Videostrong fabrique a partir de ahora. Google no ha detallado qué ocurre con los aparatos ya vendidos ni si ofrecerá alguna forma de limpiarlos. Con los servidores de control caídos, la puerta trasera queda sin órdenes, pero sigue en el firmware. Y el caso deja una pregunta incómoda: si el sello de Google no detectó durante años código malicioso puesto por el propio fabricante, el control real del aparato nunca estuvo en manos de quien lo compró.

Fuente: SecurityWeek