Een fabrikant van Android tv-boxes heeft de apparaten bewust geleverd met een backdoor, waar criminelen vervolgens misbruik van maakten. Dat stelt Google. Wereldwijd gaat het om meer dan 1,3 miljoen Android tv-boxes die onderdeel van een botnet uitmaakten en voornamelijk in Canada, Duitsland, de Verenigde Staten, Mexico, Brazilië, Australië, Indonesië en China werden aangetroffen. Google heeft samen met de Japanse autoriteiten en cybersecuritybedrijven de infrastructuur van het botnet ontmanteld.

Volgens Google gaat het om Android tv-boxes van fabrikant Videostrong. Via de XCPE-backdoor kon allerlei malware op het apparaat worden geïnstalleerd. Google stelt dat Videostrong aan de backdoor verdiende door tegen betaling malware-modules van 'affiliates' te installeren. Deze modules gebruikten de apparaten voor het plegen van advertentiefraude, installeerden aanvullende malware en maakten de tv-boxes onderdeel van residential proxynetwerken.

Door een residential proxynetwerk te gebruiken kunnen bijvoorbeeld aanvallers hun eigen ip-adres verbergen. Een ander voordeel is dat er een ip-adres kan worden gekozen dat zich in dezelfde regio als dat van het doelwit bevindt. Proxynetwerken kunnen ook gevolgen hebben voor gebruikers waarvan het ip-adres wordt gebruikt. Zo waarschuwde de politie onlangs dat als criminelen gebruikmaken van proxynetwerken, de ip-adressen van onschuldige burgers en bedrijven onterecht als verdacht kunnen worden aangemerkt in opsporingsonderzoeken.

De backdoor kon stilletjes aanvullende bestanden op de apparaten uitvoeren, zonder toestemming van gebruikers. Daarvoor werd eerst de 'consent configuratie' van het systeem verwijderd, gevolgd door het uitschakelen van Google Play Protect. De backdoor was zo ingesteld dat als gebruikers die verwijderden, bij een herstart van het systeem de backdoor opnieuw vanaf de oem-partitie van de tv-box werd geïnstalleerd. Veruit het grootste deel van de besmette apparaten waren tv-boxes, maar Google ontdekte ook een aantal Android 'telehealth' en karaoke machines die besmet waren.

Als onderdeel van de operatie tegen het botnet zijn de servers en domeinnamen offline gehaald waarmee Videostrong de tv-boxes aanstuude. Verder zijn domeinen offline gehaald waar de malware gebruik van maakte die via de backdoor werd geïnstalleerd. Google heeft Videostrong, dochterondernemingen en gelieerde ondernemingen verboden om in de toekomst gecertificeerde Android-apparaten te verkopen, of software aan gecertificeerde leveranciers te leveren. Tevens stelt het techbedrijf dat het verbeteringen heeft doorgevoerd om de integriteit van de firmware van gecertificeerde Android tv-boxes te garanderen.