O Grupo de Inteligência contra Ameaças do Google anunciou nesta semana a desativação de uma enorme rede de bots denominada x.cpe. No auge de sua operação, essa rede maligna estava ativa em mais de 1,3 milhão de dispositivos de TV Android, tratando-se, de forma incomum, de aparelhos que possuíam certificação oficial do Google.
Segundo informações divulgadas pelo grupo em uma publicação detalhada em seu blog, o processo de triagem do Google falhou em detectar o software malicioso devido a técnicas sofisticadas de ofuscação empregadas pela empresa Videostrong Technology, sediada na cidade de Shenzhen, na China.
A rede x.cpe evoluiu rapidamente de um instalador inicial de estágio único para uma plataforma modular de malware de três estágios, que vendia acessos a terceiros. Fabricantes precisam obter certificação de seus dispositivos para terem direito aos aplicativos e à marca do Google, um processo que deveria identificar ameaças como essa.
As caixas comprometidas, vendidas principalmente sob a marca MECOOL, conseguiram escapar da detecção ao utilizar uma porta dos fundos para instalar remotamente o malware após os aparelhos serem configurados e conectados à internet. Assim que os dispositivos ficavam online, um aplicativo auxiliar chamado x.cpe ou com.oemservice estabelecia comunicação com os servidores dos operadores.
Esse pacote, por si só, não possuía capacidades maliciosas diretas, mas dispunha das permissões necessárias em nível de sistema para instalar módulos de malware conforme a orientação dos operadores. O aplicativo também desativava o sistema Play Protect, que de outra forma teria sinalizado os pacotes instalados silenciosamente como ameaça.
Fonte: Ars Technica
