Google waarschuwt al langer voor Android TV-boxen met vooraf geïnstalleerde malware. Vooral apparaten van onbekende fabrikanten vormen een risico. Vaak beschikken deze toestellen niet over officiële Google-certificering of toegang tot de Play Store. Bij Mecool was dat anders: Videostrong werkte samen met Google en bracht gecertificeerde Android TV-apparaten op de markt.
Toch bleek ook deze samenwerking geen garantie voor veiligheid. Google ontdekte samen met beveiligingsbedrijven een achterdeur met de naam XCPE. Volgens het bedrijf ontwikkelde, verspreidde en beheerde Videostrong deze backdoor bewust om er geld mee te verdienen. De fabrikant verkocht toegang tot besmette apparaten aan cybercriminelen, die vervolgens eigen malware konden installeren.
Onderzoekers van beveiligingsbedrijf Synthient troffen de achterdeur onder meer aan op de Mecool KM9PRO Max. Ook in de Benelux zijn Mecool-apparaten verkocht, onder meer via Bol en Amazon. Dat betekent overigens niet dat alle modellen of verkochte exemplaren besmet zijn.
De besmette streamingboxen werden onder meer gebruikt voor advertentiefraude en opgenomen in zogenoemde proxynetwerken. Daarbij leiden criminelen hun internetverkeer via de verbinding van nietsvermoedende gebruikers. Daardoor lijkt het alsof het verkeer afkomstig is van het IP-adres van een gewone consument.
De mogelijkheden van de achterdeur gingen echter verder. Volgens Google konden operators van Videostrong op afstand screenshots maken, toetsaanslagen invoeren en gevoelige informatie buitmaken. Het ging onder meer om accountgegevens en systeemlogs. Ook konden ze scripts en opdrachten uitvoeren op de besmette apparaten.
Google heeft inmiddels samen met onder meer de Japanse politie en verschillende beveiligingsbedrijven de infrastructuur achter de XCPE-backdoor uitgeschakeld. Ook zijn de command-and-controlservers van meer dan twaalf andere malwarefamilies aangepakt. Daarmee verliezen aanvallers volgens Google de toegang tot minstens tien miljoen andere besmette apparaten.
Dat betekent niet dat alle malware automatisch van de getroffen streamingboxen is verdwenen. De achterdeur is namelijk verwerkt in de firmware van de apparaten. Synthient adviseert consumenten daarom om geïdentificeerde toestellen niet langer te gebruiken. In ieder geval is het verstandig om ze niet meer met internet te verbinden.
Geen opmerkingen:
Een reactie posten