Empresas tecnológicas desmantelan masiva botnet integrada en 1,3M de Android TV Boxes

Empresas tecnológicas y investigadores de seguridad han desmantelado una masiva botnet compuesta por más de 1,3 millones de dispositivos Android TV que alquilaban en secreto las conexiones a internet de los usuarios y ejecutaban fraude publicitario. Según Krebs on Security, la acción coordinada cortó el acceso a un estimado de 10 millones de dispositivos de internet de las cosas (IoT) adicionales comprometidos, incluidos aparatos sanitarios y máquinas de karaoke.

Qué pasó

El Grupo de Inteligencia de Amenazas de Google (GTIG) informó que rompió lazos con Videostrong Technology Co., un fabricante de TV boxes con sede en China identificado como la fuente del malware. Krebs on Security informa que Videostrong integró el malware "XCPE" directamente en los dispositivos, el cual se cargaba inmediatamente en el primer arranque para convertir las direcciones de internet de los usuarios en proxys residenciales comerciales. Estos servicios de proxy se utilizaron posteriormente para la anonimización de tráfico web, apropiaciones de cuentas, extracción masiva de contenido para proyectos de IA y fraude publicitario.

Google emprendió acciones legales para incautar los dominios y servidores utilizados para controlar la botnet XCPE. Según los informes, Videostrong monetizó la puerta trasera vendiendo acceso a afiliados criminales. La investigación de la startup Synthient reveló además que los dispositivos preinfectados, como los vendidos bajo la marca MECOOL por Skyworth Technology, agrupaban el malware de Videostrong junto con kits de desarrollo de software para proveedores de proxys residenciales como AppSalt (Honeygain), NetNut y Grass. Muchos de estos dispositivos contaminados obtuvieron una distribución generalizada a través de influencers de redes sociales en plataformas como TikTok y YouTube.

Por qué es importante para equipos pequeños de IA y tecnología

Para las pequeñas empresas que implementan agentes de IA, extraen datos web públicos o enrutan flujos de trabajo automatizados a través de infraestructura en la nube y de borde, el desmantelamiento de la botnet XCPE es un recordatorio contundente de la naturaleza comprometida de los ecosistemas de proxy. Como detalla Krebs on Security, las redes de proxys residenciales se aprovechan fuertemente para la extracción masiva de contenido para alimentar proyectos de IA. Cuando los proveedores de proxy se integran, a sabiendas o no, con puertas trasera en la cadena de suministro como las construidas por Videostrong, los canales comerciales de IA corren el riesgo de enrutar solicitudes a través de hardware de consumo pirateado.

Los equipos pequeños que dependen de proxys de terceros para la recolección de datos o inteligencia de mercado enfrentan importantes vulnerabilidades de cumplimiento y ciberseguridad. Si sus agentes de IA extraen datos o interactúan con servicios web utilizando grupos de proxys contaminados, su organización corre el riesgo de que sus direcciones IP sean incluidas en listas negras, de encontrar datos fabricados por bucles de fraude publicitario automatizado o de participar inadvertidamente en la redistribución de tráfico criminal. Asegurar su infraestructura agéntica requiere una revisión rigurosa de los proveedores de datos para garantizar que no obtengan IP residenciales de hardware de consumo comprometido.

Qué hacer esta semana

1. Audite a todos los proveedores de datos de terceros y servicios de proxy que su equipo utiliza para la extracción web o la recolección de datos de IA para verificar su transparencia en el abastecimiento de IP y sus estándares de cumplimiento.
2. Revise los controles de acceso a la red y las reglas de filtrado de salida para cualquier hardware IoT propiedad de la empresa, pantallas inteligentes o dispositivos multimedia conectados a su red de oficina principal.
3. Verifique las fuentes de inteligencia de amenazas internas de su organización contra las listas de la industria recientemente publicadas, como los números de modelo de dispositivos afectados de Synthient, para asegurarse de que no haya cajas de streaming con puertas trasera operando localmente.

Fuentes

• Tech Firms Dismantle Botnet That Turned 1.3M TV Boxes Into Proxies — Krebs on Security