Red Hot Cyber
La cybersecurity è condivisione. Riconosci il rischio, combattilo, condividi le tue esperienze ed incentiva gli altri a fare meglio di te.
Cerca

La backdoor Vo1d infetta 1,3 milioni di set-top box Android in 197 paesi

Redazione RHC : 13 Settembre 2024 09:15

Gli specialisti Doctor Web riferiscono che una nuova backdoor ha infettato quasi 1.300.000 set-top box TV basati su Android in 197 paesi del mondo. Questo malware è in grado di scaricare e installare segretamente software di terze parti.

La geografia della distribuzione del malware copre quasi 200 paesi. I paesi più compromessi sono stati individuati in Brasile, Marocco, Pakistan, Arabia Saudita, Russia, Argentina, Ecuador, Tunisia, Malesia, Algeria e Indonesia.

I ricercatori scrivono che questa campagna è stata scoperta nell’agosto di quest’anno, quando diversi utenti hanno contattato Doctor Web. Le soluzioni antivirus dell’azienda hanno rilevato modifiche nell’area dei file di sistema sui propri dispositivi. Ciò è accaduto con i seguenti modelli di console:

Modello decoder TVVersione firmware dichiarata
R4Android 7.1.2; Versione R4/NHG47K
TV BOXAndroid 12.1; Versione TV BOX/NHG47K
KJ-SMART4KVIPAndroid 10.1; Versione KJ-SMART4KVIP/NHG47K

Sponsorizza la prossima Red Hot Cyber Conference!

Il giorno Lunedì 18 maggio e martedì 19 maggio 2026 9 maggio 2026, presso il teatro Italia di Roma (a due passi dalla stazione termini e dalla metro B di Piazza Bologna), si terrà la V edizione della la RHC Conference. Si tratta dell’appuntamento annuale gratuito, creato dalla community di RHC, per far accrescere l’interesse verso le tecnologie digitali, l’innovazione digitale e la consapevolezza del rischio informatico.

Se sei interessato a sponsorizzare l'evento e a rendere la tua azienda protagonista del più grande evento della Cybersecurity Italiana, non perdere questa opportunità. E ricorda che assieme alla sponsorizzazione della conferenza, incluso nel prezzo, avrai un paccheto di Branding sul sito di Red Hot Cyber composto da Banner più un numero di articoli che saranno ospitati all'interno del nostro portale.

Quindi cosa stai aspettando? Scrivici subito a [email protected] per maggiori informazioni e per accedere al programma sponsor e al media Kit di Red Hot Cyber.



Supporta RHC attraverso:
L'acquisto del fumetto sul Cybersecurity Awareness
Ascoltando i nostri Podcast
Seguendo RHC su WhatsApp
Seguendo RHC su Telegram
Scarica gratuitamente "Dark Mirror", il report sul ransomware di Dark Lab


Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì.


In tutti i casi, i segni di infezione erano simili. Pertanto, su uno dei set-top box interessati, gli oggetti install-recovery.sh e daemonsu sono stati modificati. Inoltre, nel file system sono comparsi quattro nuovi file:

  • /system/xbin/vo1d
  • /system/xbin/wd
  • /sistema/bin/debuggerd
  • /sistema/bin/debuggerd_real

I file vo1d e wd sono componenti del malware identificato, che l’azienda traccia come Android.Vo1d.

Gli autori del Trojan probabilmente hanno cercato di camuffare uno dei suoi componenti come programma di sistema /system/bin/vold, chiamandolo con il nome simile “vo1d” (sostituendo la lettera minuscola “l” con il numero “1”). Il malware ha preso il nome da questo file. Inoltre, questa ortografia è in consonanza con la parola “void” (inglese “vuoto”)”, scrivono i ricercatori.

Il file install-recovery.sh è uno script presente sulla maggior parte dei dispositivi Android. Si avvia all’avvio del sistema operativo e contiene dati per l’esecuzione automatica degli elementi in esso specificati. Se un malware dispone dell’accesso root e della capacità di scrivere nella directory di sistema /system, può prendere piede sul dispositivo infetto aggiungendosi a questo script (o creandolo se non è presente nel sistema). Vo1d ha specificato l’avvio automatico del componente wd al suo interno.

Il file daemonsu è presente anche su molti dispositivi Android rootati. Viene avviato dal sistema all’avvio ed è responsabile della concessione dei privilegi di root all’utente. Il malware si è registrato anche in questo file, impostando anche l’avvio automatico del modulo wd.

Il file debuggerd è un demone comunemente utilizzato per generare rapporti sugli errori. Ma quando il set-top box è stato infettato, questo file è stato sostituito con uno script che avviava il componente wd.

Va notato che la funzionalità principale di Vo1d è nascosta nei suoi componenti vo1d ( Android.Vo1d.1 ) e wd ( Android.Vo1d.3 ), che lavorano insieme. Pertanto, il modulo Android.Vo1d.1 è responsabile dell’avvio  di Android.Vo1d.3  e ne controlla l’attività, riavviando il processo se necessario.

Inoltre, su comando del server di controllo, può scaricare ed eseguire file eseguibili. A sua volta, il  modulo Android.Vo1d.3  si installa sul dispositivo e avvia un demone crittografato nel suo body ( Android.Vo1d.5 ), che è anche in grado di scaricare e avviare file eseguibili. Inoltre, monitora la presenza di file APK delle applicazioni in determinate directory e li installa.

Gli esperti suggeriscono che gli aggressori potrebbero aver preso di mira i set-top box, perché tali dispositivi spesso funzionano con versioni obsolete di Android, a cui non sono state riparate le vulnerabilità e per le quali non sono più disponibili aggiornamenti.

Attualmente la fonte dell’infezione dei set-top box con la backdoor Vo1d rimane sconosciuta. Si ritiene che un possibile vettore potrebbe essere un attacco da parte di un malware che sfrutta le vulnerabilità del sistema operativo per ottenere i diritti di root. Un’altra teoria afferma che il problema potrebbe essere dovuto all’uso di versioni firmware non ufficiali con accesso root.

Redazione
La redazione di Red Hot Cyber è composta da un insieme di persone fisiche e fonti anonime che collaborano attivamente fornendo informazioni in anteprima e news sulla sicurezza informatica e sull'informatica in generale.

Lista degli articoli

Articoli in evidenza

38 milioni di Numeri di telefono di Italiani in vendita nel Dark Web. E’ che Smishing Sia!
Di Redazione RHC - 06/09/2025

Sette italiani su dieci hanno il proprio numero di telefono incluso in questa banca dati. Ma cosa significa attualmente disporre di un tale quantitativo di numeri telefonici concentrati all’interno ...

Se Flash è morto, ecco a voi l’SVG Assassino! Il phishing 2.0 è in alta definizione
Di Redazione RHC - 05/09/2025

I criminali informatici hanno lanciato una nuova ondata di attacchi che utilizzano file SVG per distribuire pagine di phishing. Gli esperti di VirusTotal hanno segnalato che gli aggressori si spaccian...

Supercomputer: l’Italia al sesto e decimo posto nella classifica TOP500 del 2025
Di Redazione RHC - 05/09/2025

Il mondo dei supercomputer è entrato nell’era dell’exascale computing. La classifica TOP500 di giugno per il 2025 ha registrato tre sistemi americani ai vertici, un debutto clamoroso dall’Europ...

16 miliardi di credenziali rubate da Apple, Meta e Google in vendita per 121.000 dollari
Di Redazione RHC - 05/09/2025

Il team di Darklab, la community di esperti di threat intelligence di Red Hot Cyber, ha individuato un annuncio sul marketplace del dark web “Tor Amazon”, l’analogo criminale del celebre e-comme...

Dal Commodore 64 a GitHub! Il BASIC di Gates e Allen diventa open source dopo 48 anni
Di Redazione RHC - 04/09/2025

Microsoft ha ufficialmente reso pubblico il codice sorgente della sua prima versione di BASIC per il processore MOS 6502, che per decenni è esistito solo sotto forma di fughe di notizie, copie da mus...