Google ha disattivato una rete di dispositivi compromessi che coinvolgeva circa 1,3 milioni di prodotti Android, in larga parte set-top box per Android TV. Secondo l’azienda, all’origine dell’operazione c’era Videostrong Technology Co., produttore con sede a Shenzhen che aveva avuto accesso al programma Android come partner hardware. Google sostiene che il produttore abbia inserito deliberatamente una backdoor nel software distribuito su più modelli, trasformando gli apparati in una botnet sfruttabile a distanza e senza che i proprietari ne fossero informati.
La risposta è stata drastica: Google afferma di aver rimosso l’infrastruttura malevola e di aver interrotto il rapporto con Videostrong. L’azienda cinese non potrà più costruire né vendere dispositivi Android certificati, né fornire il software destinato a questi prodotti. È una sanzione che va oltre il ritiro di una singola certificazione, perché interviene sull’accesso stesso del produttore all’ecosistema Android certificato.
Il caso è rilevante per due ragioni. Da un lato mostra quanto un componente inserito nella catena produttiva possa rendere vulnerabili prodotti apparentemente ordinari, come un box collegato al televisore. Dall’altro porta l’attenzione su una superficie di attacco spesso trascurata: i dispositivi Android a basso costo, che restano accesi e connessi alla rete domestica per lunghi periodi, possono diventare nodi preziosi per chi gestisce attività illecite online.
Una backdoor attiva fin dal primo avvio
La backdoor, secondo la ricostruzione di Google, non sarebbe stata introdotta da un’app scaricata dall’utente né da un attacco successivo alla vendita. Era integrata nel percorso di configurazione del dispositivo: il codice veniva caricato dopo il primo avvio dell’hardware, facendo ricorso a tecniche di offuscamento per rendere più difficile l’analisi del comportamento. È un dettaglio centrale, perché colloca il problema a monte dell’uso quotidiano del prodotto e nella filiera software gestita dal produttore.
I set-top box Android TV rappresentano la parte principale dei dispositivi coinvolti, ma non l’unica. Google riferisce di aver individuato lo stesso meccanismo in differenti modelli e marchi distribuiti nell’arco di più anni. Nell’elenco delle categorie interessate rientrano anche dispositivi IoT basati su Android impiegati nella telemedicina, macchine per il karaoke e sistemi di digital signage. Le informazioni disponibili non indicano però i nomi commerciali, i Paesi di vendita o la precisa platea di utenti colpiti per ciascun modello.
La varietà dell’hardware rende l’episodio più delicato di un incidente circoscritto a un decoder. Prodotti molto diversi possono condividere componenti, firmware o fornitori lungo la stessa catena industriale; per chi acquista, il marchio stampato sulla scocca non coincide sempre con chi sviluppa e mantiene il software. In questo caso, Google afferma che la presenza della backdoor fosse estesa a numerose varianti prodotte nel tempo.
Come venivano sfruttati i dispositivi compromessi
Una botnet è una rete di dispositivi controllati da remoto attraverso server di comando e controllo, spesso indicati con la sigla C2. Ogni singolo apparato può apparire poco significativo, ma una rete composta da centinaia di migliaia o milioni di nodi consente di distribuire traffico, eseguire operazioni automatizzate e mascherare l’origine delle attività. Nel caso attribuito a Videostrong, Google parla di un utilizzo a fini economici e della vendita dell’accesso alla rete a soggetti criminali affiliati.
I moduli caricati sui dispositivi venivano impiegati per frodi pubblicitarie, sottrazione di dati e instradamento di traffico non autorizzato. Un impiego segnalato da Google riguarda l’inclusione silenziosa degli apparati in reti di proxy residenziali: in sostanza, terzi potevano far transitare il proprio traffico attraverso le connessioni Internet domestiche delle vittime. Questo schema è utile a chi vuole presentarsi online come un utente collegato da una normale abitazione, anziché da un’infrastruttura riconducibile a un data center o a un servizio professionale.
Il controllo non si sarebbe fermato a queste funzioni. Google afferma che altri malware potevano essere installati sui dispositivi già compromessi. Una backdoor di questo tipo dà infatti a chi la gestisce la possibilità di cambiare strumenti e finalità nel tempo: oggi una campagna di ad fraud, domani un modulo diverso. Non sono stati diffusi dettagli tecnici sufficienti per stabilire quali dati siano stati sottratti, quali azioni abbiano riguardato ogni categoria di device o per quantificare l’eventuale impatto sui singoli proprietari.
Il blocco dei domini C2 e un perimetro più ampio
Google dice di aver neutralizzato la backdoor e di aver agito anche contro i domini C2 usati dai moduli gestiti dagli affiliati. La società stima che l’interruzione di questi domini possa togliere il controllo agli operatori su almeno altri 10 milioni di dispositivi compromessi. Si tratta di una stima distinta dai circa 1,3 milioni di prodotti direttamente associati alla rete costruita attraverso Videostrong: gli affiliati, sempre secondo Google, disponevano di canali di distribuzione ulteriori e diversificati.
La distinzione è importante per leggere correttamente i numeri. Il dato da 1,3 milioni descrive la dimensione della botnet attribuita al produttore Android; quello relativo ai 10 milioni riguarda l’effetto potenziale della chiusura dell’infrastruttura di comando usata da operatori collegati alle attività successive. Non equivale quindi a dire che tutti quei dispositivi fossero prodotti da Videostrong o appartenessero allo stesso episodio industriale.
Disattivare i canali di comando può spezzare l’operatività di una botnet, ma non rende automaticamente trasparente la situazione di ogni apparecchio. Dalle informazioni disponibili non emergono un elenco pubblico completo dei modelli interessati, indicazioni puntuali per riconoscerli o un programma di aggiornamento comunicato ai proprietari. È inoltre ignoto se tutti gli apparati abbiano ricevuto lo stesso livello di compromissione. Per gli utenti, l’assenza di identificativi chiari limita la possibilità di verificare in autonomia se un prodotto acquistato in passato sia stato coinvolto.
Un problema di fiducia nella filiera Android
Android è una piattaforma adottata da produttori con ruoli e dimensioni molto differenti. La certificazione serve a verificare requisiti tecnici e di compatibilità, ma il caso dimostra che il controllo della filiera deve considerare anche il comportamento del software dopo l’approvazione e dopo la prima accensione del dispositivo. Secondo Google, Videostrong ha usato l’offuscamento proprio per nascondere il caricamento del codice nocivo nella fase iniziale di utilizzo.
Google ha comunicato di aver modificato i processi di revisione applicati ai produttori in seguito all’incidente, senza descriverne pubblicamente i dettagli. È comprensibile che alcune misure restino riservate, ma l’efficacia delle correzioni sarà un elemento da osservare: i dispositivi connessi destinati a televisori, attività commerciali e servizi specializzati tendono a restare operativi a lungo e ricevono talvolta un supporto software meno visibile rispetto a smartphone e tablet.
La decisione di escludere Videostrong dal perimetro Android certificato chiarisce la posizione di Google sulle responsabilità del partner. Resta tuttavia una vicenda basata sulle attribuzioni dell’azienda che ha condotto l’intervento: non sono state rese note repliche del produttore né elementi pubblici che consentano di ricostruire in modo indipendente l’intera operazione. Ciò che è certo, nella versione fornita da Google, è la portata della misura adottata e la natura del rischio: hardware venduto per funzioni quotidiane può diventare parte di un’infrastruttura criminale quando il controllo del software viene tradito direttamente nella produzione.
