Des entreprises technologiques démantèlent un gigantesque botnet intégré dans 1,3 million de boîtiers Android TV

Des entreprises technologiques et des chercheurs en sécurité ont démantelé un gigantesque botnet comprenant plus de 1,3 million de boîtiers Android TV qui louaient secrètement les connexions Internet des utilisateurs et exécutaient des fraudes publicitaires. Selon Krebs on Security, cette opération coordonnée a coupé l'accès à environ 10 millions d'autres appareils connectés (IoT) compromis, notamment des gadgets de santé et des machines de karaoké.

Que s'est-il passé

Le groupe d'analyse des menaces de Google (GTIG) a indiqué avoir rompu ses liens avec Videostrong Technology Co., un fabricant de boîtiers TV basé en Chine identifié comme la source du malware. Krebs on Security rapporte que Videostrong a intégré le malware « XCPE » directement dans les appareils, qui se chargeait dès le premier démarrage pour transformer les adresses Internet des utilisateurs en proxys résidentiels commerciaux. Ces services de proxy ont ensuite été utilisés pour l'anonymisation du trafic Web, le détournement de comptes, le scraping massif de contenu pour des projets d'IA et la fraude publicitaire.

Google a engagé des poursuites judiciaires pour saisir les domaines et les serveurs utilisés pour contrôler le botnet XCPE. Selon les rapports, Videostrong a monétisé la porte dérobée en vendant l'accès à des affiliés criminels. Des recherches de la startup Synthient ont en outre révélé que des appareils pré-infectés, tels que ceux vendus sous la marque MECOOL par Skyworth Technology, intégraient le malware de Videostrong aux côtés de kits de développement logiciel pour des fournisseurs de proxys résidentiels tels qu'AppSalt (Honeygain), NetNut et Grass. Bon nombre de ces appareils corrompus ont bénéficié d'une large diffusion grâce à des influenceurs sur les réseaux sociaux comme TikTok et YouTube.

Pourquoi c'est important pour les petites équipes d'IA et de tech

Pour les petites entreprises déployant des agents d'IA, extrayant des données Web publiques ou acheminant des flux de travail automatisés via une infrastructure cloud et en périphérie (edge), le démantèlement du botnet XCPE rappelle brutalement la nature compromise des écosystèmes de proxy. Comme le détaille Krebs on Security, les réseaux de proxys résidentiels sont largement utilisés pour le scraping massif de contenu destiné à alimenter des projets d'IA. Lorsque les fournisseurs de proxy s'intègrent, à leur insu ou non, à des portes dérobées de la chaîne d'approvisionnement comme celles conçues par Videostrong, les pipelines d'IA commerciaux risquent d'acheminer des requêtes via du matériel grand public piraté.

Les petites équipes qui s'appuient sur des proxys tiers pour la collecte de données ou la veille concurrentielle font face à d'importantes vulnérabilités en matière de conformité et de cybersécurité. Si vos agents d'IA extraient des données ou interagissent avec des services Web en utilisant des pools de proxys corrompus, votre organisation risque de voir ses adresses IP mises sur liste noire, de rencontrer des données fabriquées provenant de boucles de fraude publicitaire automatisées, ou de participer par inadvertance à la redistribution de trafic criminel. Sécuriser votre infrastructure d'agents nécessite une vérification rigoureuse des fournisseurs de données pour s'assurer qu'ils ne se fournissent pas en IP résidentielles auprès de matériel grand public compromis.

Que faire cette semaine

1. Auditez tous les fournisseurs de données tiers et services de proxy que votre équipe utilise pour le scraping Web ou la collecte de données d'IA afin de vérifier la transparence de leur approvisionnement en IP et leurs normes de conformité.
2. Examinez les contrôles d'accès au réseau et les règles de filtrage des sorties pour tout matériel IoT, écran intelligent ou appareil multimédia appartenant à l'entreprise et connecté à votre réseau de bureau principal.
3. Vérifiez les flux de veille sur les menaces internes de votre organisation par rapport aux listes sectorielles récemment publiées — telles que les numéros de modèle d'appareils affectés de Synthient — pour vous assurer qu'aucun boîtier de streaming piégé ne fonctionne localement.

Sources

• Tech Firms Dismantle Botnet That Turned 1.3M TV Boxes Into Proxies — Krebs on Security