- BADBOX proviene molto probabilmente dalla Cina
- Il malware può eseguire frodi pubblicitarie, proxy residenziali e altre attività dannose
- La rete è stata recentemente interrotta dalle autorità tedesche
Le autorità tedesche hanno interrotto un'importante operazione di malware che ha colpito migliaia di dispositivi Android in Germania. Secondo l'Ufficio federale per la sicurezza informatica, il malware badbox era precaricato su dispositivi Android con firmware obsoleto e veniva venduto già infetto.
L'operazione ha compromesso circa trentamila dispositivi, con i più comuni endpoint rappresentati da cornici digitali, lettori multimediali e dispositivi di streaming. Tuttavia, l'agenzia avverte che anche alcuni smartphone e tablet potrebbero essere stati coinvolti.
Questa situazione mette in evidenza i rischi legati all'acquisto di dispositivi con software non aggiornato, spesso venduti a basso costo, che possono rappresentare un veicolo per malware dannosi.
Dispositivi Android obsoleti
"Tutti questi dispositivi hanno in comune il fatto di avere versioni di Android obsolete e di essere stati forniti con malware preinstallato", ha dichiarato il BSI in un comunicato stampa.
Un portavoce di Google ha precisato che i dispositivi non erano certificati Play Protect, il che significa che non erano sottoposti ai controlli di sicurezza di Google. "Questi dispositivi off-brand scoperti infetti non erano dispositivi Android certificati Play Protect. Se un dispositivo non è certificato Play Protect, Google non ha un registro dei risultati dei test di sicurezza e compatibilità", ha dichiarato il portavoce a TechRadar Pro tramite e-mail. "I dispositivi Android certificati Play Protect sono sottoposti a test approfonditi per garantire la qualità e la sicurezza degli utenti. Per aiutarvi a verificare se un dispositivo è costruito con Android TV OS ed è certificato Play Protect, il nostro sito web Android TV fornisce l'elenco più aggiornato dei partner. Potete anche seguire questi passaggi per verificare se il vostro dispositivo è certificato Play Protect".
Secondo il BSI, il malware badbox era progettato per svolgere diverse attività dannose. La sua funzione principale era creare silenziosamente nuovi account per servizi di posta elettronica e messaggistica, che venivano poi utilizzati per diffondere fake news, disinformazione e propaganda. Inoltre, badbox era in grado di aprire siti web in background per generare visualizzazioni false di annunci pubblicitari, una pratica considerata frode pubblicitaria.
Il malware poteva anche trasformare i dispositivi in servizi proxy residenziali, utilizzando il traffico per scopi illegali a beneficio di malintenzionati. Infine, badbox fungeva da loader per rilasciare ulteriore malware sui dispositivi compromessi.
L'operazione è stata documentata per la prima volta più di un anno fa da Satori Threat Intelligence di HUMAN e sembra avere origine dalla Cina. Secondo HUMAN, gli stessi attori delle minacce sono collegati a una botnet di frodi pubblicitarie chiamata PEACHPIT, progettata per contraffare il traffico di applicazioni Android e iOS popolari e utilizzare la rete badbox per arricchirsi.
"Questo ciclo completo di frodi pubblicitarie significa che stavano guadagnando denaro dalle impressioni pubblicitarie false sulle loro app fraudolente e spoofate", ha dichiarato HUMAN all'epoca. "Chiunque può accidentalmente acquistare un dispositivo badbox online senza sapere che è falso, collegarlo e aprire inconsapevolmente questa backdoor malware".
Via The Hacker News
