Michael Johnsonينبغي لمالك جهاز Android للتلفاز يعمل ببرنامج ثابت من Videostrong التحقق من مصدر الجهاز: ففي 2 نوفمبر، قالت Google إنها عطّلت، بالتعاون مع شركائها، شبكة XCPE التي ضمّت أكثر من 1.3 مليون جهاز. وسعت Google في إطار العملية إلى تعطيل خوادم التحكم والنطاقات الخبيثة، كما حظرت على Videostrong تصنيع أجهزة Android معتمدة تتضمن تطبيقات Google مثبتة مسبقًا. وقد وصفت Google العملية بأنها استجابة لباب خلفي مدمج في البرامج الثابتة لطُرز عدة.
ما الذي عُطّل تحديدًا؟
وفقًا لمجموعة Google للاستخبارات المتعلقة بالتهديدات، استخدمت XCPE مكوّنًا مدمجًا في البرنامج الثابت يُسمى x.cpe. وكان يتصل بخادم التحكم، ويتلقى الأوامر، وينزّل وحدات إضافية. وقالت Google إنها اتخذت إجراءات قانونية ضد النطاقات والخوادم التي استخدمتها Videostrong لإدارة الشبكة وتثبيت مكونات خبيثة، وكذلك ضد نطاقات التحكم التابعة لأكثر من اثنتي عشرة عائلة من البرمجيات الخبيثة.
شارك في العملية كل من وكالة الشرطة الوطنية اليابانية وLumen وHUMAN Security وPlume وSynthient وTrendAI. وقالت Google أيضًا إنها حظرت على Videostrong وشركاتها التابعة والمرتبطة بها مستقبلًا تصنيع أجهزة Android معتمدة وبيعها، وتزويد الشركات المصنّعة الأخرى المعتمدة بالبرمجيات. كما أفادت الشركة بأنها أجرت تغييرات على فحوص سلامة البرامج الثابتة لأجهزة Android TV.
إن عبارة «عطّلت الشبكة» أدق من الوعد بتنظيف كل جهاز تلفاز فورًا. تصف Google تفكيك بنية التحكم والنطاقات المرتبطة بها؛ لكن المنشور لا يذكر إصلاح البرامج الثابتة عن بُعد في جميع الأجهزة التي بيعت بالفعل. ويؤدي تعطيل الخوادم إلى حرمان المشغّلين من قنوات مهمة للتحكم وتوصيل الوحدات، لكنه لا يعيد كتابة البرمجيات المثبتة بحد ذاته.
لماذا استمرت الإصابة بعد إعادة التشغيل؟
كان المكوّن الخبيث موجودًا في قسم النظام من البرنامج الثابت. وتوضح Google أن x.cpe كان يعمل بصلاحيات النظام، ويمكنه استعادة نسخته بعد إعادة التشغيل إذا حذف المستخدم التطبيق من قسم البيانات العادي. لذلك لم تكن محاولة العثور على تطبيق مشبوه وحذفه من إعدادات Android تضمن تنظيف الجهاز.
حافظ الباب الخلفي على اتصال دائم ببنية التحكم، وكان بإمكانه تلقي أوامر لتثبيت تطبيقات خفية وتشغيل واجهة سطر الأوامر وجمع البيانات. وقالت Google إنها رصدت التقاط لقطات الشاشة وإدخال الأوامر ونقل معلومات الحسابات والنظام وتشغيل النصوص البرمجية. وحوّلت الوحدات التي جرى تنزيلها الأجهزة إلى عقد في شبكات الوكلاء السكنية أو استخدمتها في الاحتيال الإعلاني؛ كما ثبّتت بعض الوحدات برمجيات خبيثة إضافية.
وهذا يحوّل جهاز التلفاز العادي إلى جزء من بنية شبكية يسيطر عليها طرف آخر. فقد تبدو حركة المرور عبر اتصال المنزل وكأنها صادرة عن المستخدم نفسه، بينما ينفذ الجهاز في الواقع أوامر مشغّل عن بُعد. وذكرت Google أيضًا أن من الأهداف المرصودة الاحتيال في عرض الإعلانات ونقل البيانات.
ما الذي ينبغي لمالك الجهاز فعله؟
ابدأ بالتحقق من العلامة التجارية والطراز الدقيقين، ومن الشركة المصنّعة للبرنامج الثابت ومعلومات الاعتماد. فاسم العلامة التجارية وحده لا يثبت وجود إصابة: تقول Google إن برمجيات Videostrong وصلت إلى طُرز وعلامات تجارية متعددة، ما يجعل مصدر الجهاز وبرنامجه الثابت عاملين حاسمين. قارن المعلومات بالقائمة المحدّثة للشركاء الرسميين لـ Android TV وبالمستندات المقدمة من البائع أو الشركة المصنّعة.
إذا تعذّر تحديد مصدر الجهاز أو كان ضمن المنظومة المتأثرة، فافصله عن الشبكة واتصل بالبائع أو الشركة المصنّعة للحصول على تعليمات مؤكدة بشأن استبداله أو إعادة تثبيت برنامجه الثابت. لا ينبغي اعتبار إعادة ضبط المصنع أو حذف التطبيقات حلًا كافيًا لمكوّن، وفقًا لوصف Google، مخزّن في البرنامج الثابت للنظام ويعود بعد إعادة التشغيل. ولا تثبّت صورًا عشوائية للبرنامج الثابت من المنتديات؛ فقد تؤدي الصورة الخاطئة إلى تعطيل الجهاز أو التسبب في مخاطر جديدة.
إذا استُخدم الجهاز لتسجيل الدخول إلى حسابات أو لعرض معلومات شخصية، فتحقق من نشاط تلك الحسابات باستخدام جهاز آخر موثوق وغيّر كلمات المرور إذا ظهرت مؤشرات على وصول غير مصرّح به. وهذه الخطوة تحمي الحسابات، لكنها لا تنظف الجهاز نفسه؛ لذا ينبغي اتخاذ قرار منفصل بشأنه.
ما الذي يبقى بعد العملية؟
تربط Google شبكة XCPE بالتثبيت المتعمد لباب Videostrong الخلفي واستخدامه لأغراض تجارية. وتقدّر الشركة أيضًا أن تعطيل نطاقات التحكم الخاصة بالوحدات المرتبطة قد يحرم أكثر من 10 ملايين جهاز مخترق آخر خارج XCPE من الوصول إليها. وهذا تقدير من Google للأثر المحتمل للإجراءات ضد البنية التحتية المشتركة، وليس عددًا مؤكدًا للأجهزة التي جرى تنظيفها.
والنتيجة العملية الأهم للمستخدمين بسيطة: إذا كان مصدر الجهاز مجهولًا أو كان يعمل ببرنامج Videostrong الثابت، فإن حذف التطبيقات وإعادة التشغيل لا يقدمان تأكيدًا موثوقًا على خلوه من الإصابة. والتحقق من الطراز والمصدر، ثم استبدال الجهاز أو استعادة برنامجه الثابت بطريقة مؤكدة، خيار أكثر وجاهة من محاولة حذف مكوّن ظاهر يدويًا.
