Google démantèle un vaste botnet infectant 1,3 million d'appareils Android TV

Google a démantelé un vaste botnet composé de plus de 1,3 million de boîtiers de streaming Android TV, dont des modèles populaires vendus en Israël sous la marque MECOOL. Selon le groupe d'analyse des menaces de Google, l'opération a été orchestrée par le fabricant chinois Videostrong Technology, basé à Shenzhen. Videostrong produit des appareils en marque blanche et fabrique le matériel MECOOL, parvenant à contourner le processus de certification officiel de Google grâce à des techniques d'occultation sophistiquées.

Techniques d'Évasion et Logiciel Malveillant

Au lieu d'intégrer la charge utile malveillante complète dans le micrologiciel initial analysé par Google, le fabricant a dissimulé un petit composant nommé x.cpe ou com.oemservice. Ce composant n'installait la porte dérobée qu'après le premier démarrage de l'appareil. Par la suite, l'application désactivait Google Play Protect, le mécanisme de sécurité intégré destiné à bloquer les installations non autorisées, empêchant ainsi le système d'alerter les utilisateurs.

L'enquête de Google a révélé que les appareils infectés servaient principalement de réseau proxy résidentiel pour acheminer du trafic Internet suspect, en plus de diverses fraudes publicitaires. Plus grave encore, le fabricant chinois disposait d'un accès distant complet aux unités compromises. Les opérateurs pouvaient exécuter des commandes de terminal, capturer des écrans, enregistrer les frappes au clavier, extraire des identifiants de compte, établir des shells inversés et cartographier le réseau domestique des utilisateurs. Selon l'analyse des serveurs de commande de Google, ces capacités avancées ont été activement exploitées sur le terrain.

Neutralisation et Risques Persistants

En collaboration avec la police japonaise et des entreprises de cybersécurité telles que Lumen, HUMAN Security, Plume, Synthient et TrendAI, Google a neutralisé les domaines et les serveurs de contrôle du botnet. De plus, Google a rompu ses liens avec Videostrong et révoqué ses licences. Bien que les appareils MECOOL infectés soient actuellement déconnectés des serveurs malveillants, les experts avertissent que la porte dérobée x.cpe réside en permanence dans le micrologiciel et se réinstalle à chaque redémarrage sans méthode de suppression simple.