Företaget varnar: Miljontals TV-boxar infekterade

Google har tillsammans med flera säkerhetsföretag slagit ut delar av botnätet XCPE, som huvudsakligen bestod av Android-baserade TV-boxar. Det ovanliga är att den skadliga koden enligt Google installerades redan vid tillverkningen, långt innan produkterna nådde konsumenterna.

I en rapport publicerad den 2 november pekar Google Threat Intelligence Group ut den kinesiska tillverkaren Videostrong Technology. Företaget misstänks med hög säkerhet ha byggt in en bakdörr i sina produkter för att sedan sälja åtkomst till andra aktörer som använde enheterna för bedrägerier och annan skadlig verksamhet.

Skadlig kod gömdes i TV-boxarnas system

Till skillnad från vanliga virus, som ofta sprids genom nedladdningar eller falska appar, fanns XCPE redan i TV-boxarnas systemprogramvara.

Den skadliga koden kördes med omfattande systembehörigheter och kunde kommunicera med externa servrar. Därifrån kunde operatörerna installera ytterligare program, köra kommandon och i vissa fall ta skärmbilder eller samla in känslig information.

Google beskriver också hur bakdörren kunde återinstallera sig själv efter en omstart om användaren försökte ta bort den. Det berodde på att delar av programvaran låg lagrade i en särskild systempartition.

Angriparna hade dessutom möjlighet att stänga av Google Play Protect, Androids inbyggda skydd mot skadliga appar. Det gjorde det lättare att installera ytterligare program utan att användaren märkte något.

TV-boxarna användes för att tjäna pengar

Bakom angreppet fanns enligt Google en affärsmodell där infekterade TV-boxar kunde utnyttjas långt efter att de hade sålts.

Enheterna användes bland annat för annonsbedrägerier, där programvara simulerade annonsvisningar och interaktioner utan att någon människa faktiskt såg annonserna.

En annan metod var att förvandla TV-boxarna till så kallade residential proxies. Det innebär att andra aktörers internettrafik skickas genom vanliga hushålls internetanslutningar.

På så sätt kan trafik från en extern aktör se ut att komma från en vanlig privatperson. För den drabbade innebär det att den egna internetanslutningen kan användas för aktiviteter som personen varken känner till eller har godkänt.

Säkerhetssajten BleepingComputer rapporterar att Google nu har stängt ned delar av infrastrukturen bakom XCPE och förbjudit Videostrong att tillverka nya certifierade Android-enheter.

Google bryter samarbetet med tillverkaren

Google uppger att Videostrong använde metoder som gjorde att den skadliga koden kunde undgå företagets säkerhetskontroller. Den verkliga nyttolasten hämtades först efter att enheten hade startats.

Som en följd av upptäckten har Google brutit samarbetet med Videostrong och stoppat företaget från att tillverka enheter med förinstallerade Google-appar. Även framtida dotterbolag och närstående verksamheter omfattas av förbudet.

Google har samtidigt förändrat sina rutiner för att kontrollera systemprogramvaran i certifierade Android TV-enheter.

Enligt företaget har insatsen påverkat XCPE-nätverket med över 1,3 miljoner enheter. Åtgärder mot ytterligare skadliga program väntas dessutom bryta angriparnas åtkomst till minst tio miljoner andra komprometterade enheter. Det är alltså inte samma sak som att över elva miljoner TV-boxar har infekterats av XCPE.

Så skyddar du din Android TV-box

Google rekommenderar att konsumenter väljer uppkopplade produkter från etablerade tillverkare och använder betrodda appbutiker.

Det är också viktigt att hålla systemprogramvaran uppdaterad och kontrollera att Google Play Protect är aktiverat, om enheten stöder funktionen.

För den som använder en billig Android-baserad TV-box från en okänd tillverkare kan det vara klokt att kontrollera produktens ursprung och certifiering. Google har dock inte publicerat någon fullständig konsumentlista över alla berörda modeller.

Eftersom XCPE installerades på systemnivå går det inte heller att utgå från att en vanlig fabriksåterställning avlägsnar infektionen.

Google betonar att arbetet mot den här typen av botnät fortsätter. Även om XCPE:s infrastruktur har slagits ut kan liknande verksamheter fortsätta genom andra tillverkare och distributionskanaler.