Más de un millón de TV boxes tenían malware directamente de fábrica. Google ha puesto fin a esto

Hay muchos TV boxes baratos en el mercado y los fabrica literalmente cualquiera. La mayoría de las veces los compras, los conectas y no te preocupas más, como mucho, después de unos años decides comprar un modelo de nueva generación. Sin embargo, un nuevo informe del equipo de seguridad de Google ahora muestra que algunos TV boxes llegaron a los compradores con malware preinstalado. La compañía se refiere específicamente a los dispositivos de la empresa china Videostrong, detrás de la popular marca MECOOL.

El fabricante supuestamente vendía las puertas traseras a otros criminales

Según el informe de Google, el software malicioso estaba integrado directamente en el firmware y se ejecutaba con privilegios de sistema. Por lo tanto, el usuario no podía desinstalarlo fácilmente. Videostrong luego vendía el acceso a los boxes infectados a otros grupos, que ejecutaban sus propios módulos en ellos. La llamada botnet, es decir, una red de dispositivos infectados, contaba con más de 1,3 millones de boxes.

Así, los boxes hacían clic en anuncios en secreto, prestaban la conexión a internet de sus propietarios a extraños como una llamada proxy residencial y descargaban más malware. Además, Google detectó cómo los operadores tomaban capturas de pantalla en los dispositivos, simulaban pulsaciones de teclas y enviaban datos sensibles, incluida información de cuentas. El malware también era capaz de desactivar la protección de Google Play Protect sin ser detectado.

Según Google, no se trataba de un problema que pudiera haber sido causado, por ejemplo, por un error de un solo empleado. El malware, según ellos, se encontró en una serie de modelos y marcas, y esto hace varios años. La empresa de investigación Synthient también participó en la revelación, y según el sitio web BleepingComputer, fue una caja MECOOL KM9 Pro Max comprada el otoño pasado la que los puso en la pista. En los servidores de los atacantes, supuestamente encontraron documentos creados por el director de desarrollo de Videostrong. Los paquetes maliciosos incluso habrían sido firmados con correos electrónicos de Videostrong.

Google ha cortado al fabricante, pero el problema no desaparece

Google, junto con la policía japonesa y empresas de seguridad, ha desmantelado los servidores de control de la botnet. Con esto, según ellos, también se han desconectado al menos otros 10 millones de dispositivos infectados con tipos de malware relacionados. Videostrong ya no puede fabricar dispositivos con aplicaciones de Google preinstaladas, y Google también ha modificado la certificación, ya que el malware eludía sus pruebas al cargarse solo después del primer inicio.

El servidor 9to5Google es optimista: sin los servidores de control, los boxes infectados deberían ser seguros, pero los propietarios deberían considerar un reemplazo. Sin embargo, BleepingComputer es más cauteloso. El código malicioso supuestamente permanece en los boxes, y si lo eliminas, se reinstala automáticamente después de reiniciar desde la partición del sistema. Por lo tanto, según ellos, solo un firmware limpio o desconectar el box de internet ayudará de manera confiable. Pero el firmware lo proporciona el fabricante.

Los boxes MECOOL también se vendían en la República Checa; Alza, por ejemplo, ofrecía los modelos KM9 Pro, KM2 Plus y KM7 Plus. Todavía no sabemos con certeza si estos también están afectados. Pero hay una pista: el malware desactiva Google Play Protect. Si lo tienes desactivado en Google Play Store en tu box y no lo hiciste tú mismo, es una señal de advertencia.

Google ya había advertido antes sobre boxes no oficiales sin certificación. Ahora se ha demostrado que ni siquiera un certificado es una garantía del cien por cien. Si estás eligiendo un nuevo box, Google recomienda optar por una marca establecida de la lista de socios en el sitio web de Android TV.

¿Utilizas en casa un TV box de MECOOL o de otra marca menos conocida?

Fuentes: Google, BleepingComputer, Android Authority, 9to5Google