Written by Ett internationellt samarbete har slagit mot XCPE, ett botnät som utnyttjade förinstallerad programvara i tv-boxar. Insatsen bryter styrningen, men innebär inte att skadlig kod har försvunnit från apparaterna.
Hemmets uppkoppling blev en handelsvara
Google och säkerhetsföretaget TrendAI redovisade insatsen den 2 november. Båda beskriver över 1,3 miljoner berörda enheter. Det handlar om en bakdörr i enheternas fasta programvara, firmware, snarare än om att ägaren först behövde installera en skadlig app.
Enligt TrendAI:s egen tekniska undersökning användes boxarna bland annat för annonsbedrägerier och som utgångspunkter för proxytrafik. Andras internettrafik kunde därmed gå genom ägarens hemanslutning utan samtycke. Google beskriver samma upplägg.
Google pekar ut tillverkaren
Google bedömer med hög säkerhet att Videostrong Technology avsiktligt utvecklade och drev verksamheten för ekonomisk vinning. Det är Googles attribuering, inte en domstolsprövad slutsats som ktkr.se själv har fastställt. Google uppger också att företaget stängts ute från fortsatt tillverkning av certifierade Android-enheter och att granskningen av firmware har skärpts.
Den oberoende redaktionen Help Net Security rapporterar också om insatsen och avstängningen. Dess beskrivning bygger i huvudsak på Google och insatsens deltagare; den utgör därför inte en separat teknisk verifiering av alla anklagelser.
Avbruten styrning rensar inte boxen
TrendAI förklarar att borttagna centrala servrar skar av operatörens kontakt med enheterna, medan implantatet finns kvar. Företagets analys säger att ägaren inte själv kan avlägsna systemkomponenten och att sanering kräver åtgärder från leverantör eller plattform, alternativt att enheten ersätts. Google beskriver dessutom hur bakdörren kan återinstalleras vid omstart.
För läsaren: vår bedömning är att beskedet bör ses som en störning av angriparnas verksamhet, inte som ett friskintyg för en viss tv-box. Uppgifterna gäller den undersökta enhetsflottan och ger inget stöd för att kalla alla Android-tv-boxar smittade.