Android TV posseduti da Vo1d: il tuo telecomando sta lavorando per gli hacker?

La botnet Vo1d, che attacca i dispositivi Android TV, continua a crescere rapidamente e ha già infettato più di 1,5 milioni di dispositivi in ​​226 Paesi. Secondo i ricercatori di XLab, la botnet utilizzata per organizzare reti proxy anonime, ha raggiunto il picco il 14 gennaio 2025, con 800.000 bot attivi in ​​quel momento.

Il primo attacco su larga scala di Vo1d è stato registrato da specialisti Dott. Web nel settembre 2024, quando furono identificati 1,3 milioni di dispositivi infetti in 200 Paesi. Tuttavia, la campagna attuale dimostra che la botnet ha solo ampliato la sua portata dalla sua scoperta.

Gli sviluppatori di Vo1d hanno implementato meccanismi di sicurezza avanzati, tra cui la crittografia RSA e un algoritmo XXTEA personalizzato, nonché un’infrastruttura fault-tolerant basata sull’algoritmo di generazione del dominio (DGA). Ciò rende molto più difficile rilevare e distruggere una botnet.

Una delle più grandi botnet degli ultimi anni

Vo1d è più grande in scala rispetto a molte botnet note, tra cui Bigpanzi, Mirai. Il numero più alto di contagi è stato registrato in Brasile (25%), seguito da Sudafrica (13,6%), Indonesia (10,5%), Argentina (5,3%), Thailandia (3,4%) e Cina (3,1%). Un picco particolarmente significativo è stato registrato in India, dove il numero di dispositivi infetti è aumentato da 3.900 a 217.000 in 3 giorni.

I ricercatori di XLab ritengono che la causa di tali picchi sia un meccanismo di “affitto e restituzione”. Presumibilmente, il meccanismo per la vendita dei servizi proxy XLab funziona in questo modo:

• Fase di noleggio. All’inizio di un periodo di noleggio, i bot vengono reindirizzati dalla rete principale di Vo1d per eseguire operazioni sui tenant, causando un calo improvviso del numero di dispositivi infetti nel pool attivo di Vo1d, poiché i bot vengono temporaneamente rimossi dal suo controllo.
• Fase di ritorno. Una volta terminato il periodo di locazione, i bot tornano alla rete Vo1d. Questo processo di reintegrazione provoca un forte aumento del numero di dispositivi infetti poiché i bot tornano attivi sotto il controllo di Vo1d.

Anche la portata dell’infrastruttura di comando e controllo (C2) è impressionante: l’operazione utilizza 32 seed DGA (Domain Generation Algorithm) per creare oltre 21.000 domini C2. La comunicazione tra i bot e i server C2 è protetta da una chiave RSA a 2048 bit, rendendo impossibile intercettare e sostituire i comandi anche quando il dominio viene identificato.

Oltre a creare reti proxy anonime, il Vo1d viene utilizzato anche per frodi sui clic e per aumentare le visualizzazioni pubblicitarie. La botnet è in grado di emulare l’attività degli utenti, generando clic e visualizzazioni per gli inserzionisti fraudolenti. Ciò è facilitato da plugin speciali che simulano il comportamento degli utenti reali e dalla piattaforma Mzmess SDK, che distribuisce le attività tra i bot.

Come proteggere Android TV dalle infezioni

Nonostante l’uso diffuso di Vo1d, gli utenti di Android TV possono ridurre al minimo il rischio di infezione adottando alcune semplici misure di sicurezza.

1. Acquista dispositivi da produttori fidati e venditori ufficiali. In questo modo si riduce la probabilità che sia presente un malware preinstallato.
2. Aggiornamenti regolari del firmware e della sicurezza. Gli aggiornamenti risolvono vulnerabilità che potrebbero essere sfruttate dagli aggressori.
3. Evita di installare app esterne a Google Play. L’utilizzo di store di terze parti o firmware personalizzati aumenta il rischio di infezione.
4. Disabilitare l’accesso remoto. Se la funzione non viene utilizzata, è meglio disattivarla per eliminare la possibilità di controllo remoto.
5. Isolamento dei dispositivi IoT. Installare Android TV su una rete separata può aiutare a proteggere altri dispositivi contenenti dati sensibili.

Il Vo1d continua a essere una delle minacce più grandi per i dispositivi Android TV e non è chiaro quali nuovi metodi di infezione potrebbero utilizzare i gestori della botnet. Tuttavia, un approccio intelligente alla sicurezza informatica può ridurre significativamente la probabilità di entrare a far parte di una rete dannosa.

Ti è piaciuto questo articolo? Ne stiamo discutendo nella nostra Community su LinkedIn, Facebook e Instagram. Seguici anche su Google News, per ricevere aggiornamenti quotidiani sulla sicurezza informatica o Scrivici se desideri segnalarci notizie, approfondimenti o contributi da pubblicare.

Sandro Sana

Membro del gruppo di Red Hot Cyber Dark Lab e direttore del Red Hot Cyber PodCast. Si occupa d'Information Technology dal 1990 e di Cybersecurity dal 2014 (CEH - CIH - CISSP - CSIRT Manager - CTI Expert), relatore a SMAU 2017 e SMAU 2018, docente SMAU Academy & ITS, membro ISACA. Fa parte del Comitato Scientifico del Competence Center nazionale Cyber 4.0, dove contribuisce all’indirizzo strategico delle attività di ricerca, formazione e innovazione nella cybersecurity.

Aree di competenza: Cyber Threat Intelligence, NIS2, Governance & Compliance della Sicurezza, CSIRT & Crisis Management, Ricerca, Divulgazione e Cultura Cyber

Visita il sito web dell'autore