Desmantelamento de uma rede botnet global
A Google anunciou o sucesso da sua cooperação com parceiros internacionais para desmantelar a rede botnet conhecida como XCPE, que teve como alvo mais de 1,3 milhão de TVs inteligentes executando o sistema Android. As investigações indicam que o malware não foi resultado de uma invasão externa, mas sim instalado intencionalmente no firmware pelo fabricante chinês Videostrong Technology Co.
Mecanismo de funcionamento do malware
O software malicioso XCPE opera como uma porta dos fundos (backdoor) com privilégios completos do sistema Android, concedendo aos invasores a capacidade de controlar totalmente os dispositivos infectados. Por meio dessa rede, os invasores conseguiram realizar diversas atividades criminosas, incluindo:
- Fraude de anúncios: Carregar páginas web ocultas e clicar em anúncios sem o conhecimento do usuário.
- Proxies residenciais: Rotear o tráfego de internet de terceiros através dos dispositivos infectados.
- Instalação de software adicional: Baixar e instalar outros malwares e desativar ferramentas de proteção como o Google Play Protect.
- Espionagem: Capturar telas, registrar teclas pressionadas (keylogging) e coletar dados de contas e registros do sistema.
Ações punitivas da Google
Em resposta a essas graves violações, a Google tomou medidas firmes que incluíram o encerramento de sua relação comercial com a Videostrong, a revogação de sua licença para fabricar dispositivos Android e a proibição de fornecer qualquer software para dispositivos certificados no futuro. A Google também modificou seus processos de revisão de certificação para evitar o uso de técnicas de ofuscação que a empresa utilizava para burlar os testes de segurança.
O que isso significa para os usuários?
O perigo desse tipo de software reside no fato de estar embutido no nível do sistema (partição OEM), o que significa que ele não é removido por meio de uma redefinição de fábrica tradicional. Se o seu dispositivo estiver infectado, a única solução é instalar uma versão limpa do firmware ou isolar o dispositivo da internet para evitar que ele seja explorado em atividades criminosas. Este incidente ressalta a importância de escolher dispositivos de fabricantes confiáveis, uma vez que as ameaças provenientes da cadeia de suprimentos (Supply Chain Attacks) são difíceis de serem detectadas pelo usuário comum.