BADBOX: individuati più 70.000 device Android infetti da una backdoor

Ott 10, 2023 In evidenza, Malware, Mercato, News, RSS

I ricercatori di Human Security, compagnia di cybersecurity specializzata nel contrastare gli attacchi bot, ha individuato e smantellato BADBOX, una rete globale di prodotti consumer spediti con backdoor installate. Il team ha individuato più di 74.000 dispositivi Android infetti, tra smartphone, tablet e smart TV box.

Gli attaccanti hanno installato la backdoor Triada sui dispositivi colpendo un produttore cinese, compromettendo così l’intera supply chain. Il malware è in grado di sottrarre informazioni sensibili, stabilire dei nodi d’uscita per proxy residenziali, ottenere le password one-time, creare finti account e-mail e installare altre applicazioni.

I prodotti infetti non possono essere sistemati da un utente medio, nemmeno resettando il dispositivo alle impostazioni di fabbrica, visto che la backdoor si connette al server C2 al momento del boot. Molti dei dispositivi infetti sono stati individuati nelle scuole pubbliche degli Stati Uniti.

“Lo schema BADBOX è un’operazione incredibilmente sofisticata, e dimostra come i criminali utilizzano la supply chain distribuita per amplificare i loro schemi su consumatori ignari che acquistano i loro dispositivi da rivenditori e piattaforme e-commerce di fiducia” ha spiegato Gavin Reid, CISO di Human.

La campagna, continua Reid, è molto pericolosa perché è praticamente impossibile per un utente capire se il proprio dispositivo è stato compromesso. Di tutti i device acquistati online da Human, l’80% era infetto dalla backdoor.

PEACHPIT, il modulo che ha condotto a BADBOX

A novembre 2022 il team di Threat Intelligence Satori di Human aveva individuato PEACHPIT, un modulo malware di frodi pubblicitarie. PEACHPIT era costituito da un insieme di applicazioni che generavano un gran numero di richieste pubblicitarie fraudolente. Le app nascondevano gli annunci dove gli utenti non potevano vederli e simulavano clic falsi sugli annunci per trarre in inganno gli inserzionisti.

PEACHPIT ha colpito 121.000 dispositivi Android e 159.000 dispositivi iOS presenti in più di 227 Paesi. Al contrario delle app di pubblicità fraudolenta, il nuovo malware non ha colpito i device iOS. L’analisi di PEACHPIT ha permesso ai ricercatori di individuare una connessione con BADBOX e bloccare la rete di backdoor.

Il team di Human è riuscito a smantellare le due operazioni grazie a una stretta collaborazione con Google, Apple e una nutrita rete di partner di sicurezza. Nonostante il successo degli sforzi congiunti, la rete BADBOX ha messo in luce ancora una volta le criticità di sicurezza della supply chain.

I dispositivi infetti dovranno essere ritirati dal mercato e Human continuerà il monitoraggio della rete per individuare ulteriori moduli malware. È molto probabile che gli attaccanti cercheranno di colpire nuovi partner per continuare le loro attività e infettare i dispositivi di prossima produzione.

• Android, backdoor, BADBOX, iOS, malware, PEACHPIT