Michael JohnsonMajitel Android TV boxu s firmwarem od výrobce Videostrong by si měl ověřit původ zařízení: Google 2. listopadu oznámila, že spolu s partnery narušila fungování botnetu XCPE, do něhož bylo zapojeno více než 1,3 milionu set-top boxů. V rámci operace Google usilovala o odstavení řídicích serverů a škodlivých domén a firmě Videostrong zakázala vyrábět certifikovaná zařízení Android s předinstalovanými aplikacemi Google. Google popsala operaci jako reakci na zadní vrátka zabudovaná ve firmwaru několika modelů.
Co přesně bylo odstaveno
Podle Google Threat Intelligence Group využíval XCPE komponentu x.cpe zabudovanou ve firmwaru. Komunikovala s řídicím serverem, přijímala příkazy a stahovala další moduly. Google oznámila právní kroky proti doménám a serverům, jejichž prostřednictvím Videostrong botnet řídila a instalovala škodlivé komponenty, a také proti řídicím doménám více než tuctu škodlivých rodin.
Operace se zúčastnily japonská Národní policejní agentura, Lumen, HUMAN Security, Plume, Synthient a TrendAI. Google také uvedla, že zakázala společnosti Videostrong a jejím budoucím dceřiným i přidruženým společnostem vyrábět a prodávat certifikovaná zařízení Android a dodávat software dalším certifikovaným výrobcům. Společnost oznámila změny v ověřování integrity firmwaru Android TV.
Formulace „narušila fungování“ je přesnější než slib, že každý televizor bude okamžitě vyčištěn. Google popisuje rozbití řídicí infrastruktury a souvisejících domén; článek neuvádí, že firmware všech již prodaných set-top boxů byl vzdáleně opraven. Odstavení serverů operátorům odřízne důležité kanály pro řízení a doručování modulů, samo o sobě však nepřepíše nainstalovaný software.
Proč nákaza přežila restart
Škodlivá komponenta se nacházela v systémovém oddílu firmwaru. Google píše, že x.cpe se spouštěla se systémovými oprávněními a po restartu mohla obnovit svou kopii, pokud uživatel odstranil aplikaci z běžného datového oddílu. Pokus najít a odstranit podezřelou aplikaci v nastavení Androidu proto nezaručoval vyčištění set-top boxu.
Zadní vrátka udržovala trvalé spojení s řídicí infrastrukturou a mohla přijímat příkazy ke skryté instalaci aplikací, spuštění shellu a sběru dat. Google uvedla, že zaznamenala pořizování snímků obrazovky, zadávání příkazů, předávání údajů o účtech a systému i spouštění skriptů. Stažené moduly měnily zařízení v uzly rezidenčních proxy sítí nebo je využívaly k reklamním podvodům; některé moduly instalovaly další malware.
Běžný TV box se tak stává součástí cizí síťové infrastruktury. Provoz přes domácí připojení může vypadat jako provoz samotného uživatele, ačkoli zařízení ve skutečnosti vykonává příkazy vzdáleného operátora. Mezi zjištěné účely Google zařadila také podvodná zobrazení reklam a předávání dat.
Co má dělat majitel set-top boxu
Nejprve ověřte přesnou značku a model zařízení, výrobce firmwaru a informace o certifikaci. Samotný název značky nákazu nepotvrzuje: Google uvádí řadu modelů a značek, do jejichž zařízení se dostal software Videostrong, takže rozhodující je původ zařízení a jeho firmware. Porovnejte údaje s aktuálním seznamem oficiálních partnerů Android TV a s dokumenty prodejce či výrobce.
Pokud se původ zařízení nepodaří zjistit nebo patří do dotčeného ekosystému, odpojte set-top box od sítě a požádejte prodejce či výrobce o ověřený postup výměny nebo přeinstalace firmwaru. Obnovení továrního nastavení a mazání aplikací nepovažujte za dostatečné řešení komponenty, která se podle popisu Google nachází v systémovém firmwaru a po restartu se obnovuje. Neinstalujte do zařízení náhodné obrazy firmwaru z fór: nesprávný obraz ho může znefunkčnit nebo způsobit další rizika.
Pokud jste se prostřednictvím set-top boxu přihlašovali k účtům nebo na něm zobrazovali osobní údaje, zkontrolujte aktivitu těchto účtů z jiného, důvěryhodného zařízení a při známkách cizího přístupu změňte hesla. Tento krok chrání účty; samotný set-top box nevyčistí, takže o dalším postupu se zařízením je nutné rozhodnout zvlášť.
Co po operaci zůstává
Google spojuje XCPE s úmyslnou instalací zadních vrátek Videostrong a jejich komerčním využíváním. Společnost také odhaduje, že odstavení řídicích domén souvisejících modulů by jim mohlo odebrat přístup k více než 10 milionům dalších napadených zařízení mimo XCPE. Jde o odhad Google ohledně možného dopadu zásahů proti společné infrastruktuře, nikoli o potvrzený počet vyčištěných zařízení.
Pro uživatele je hlavní praktický závěr jednoduchý: pokud set-top box pochází z neznámého zdroje nebo používá firmware Videostrong, smazání aplikací a restart nejsou spolehlivým potvrzením, že je zařízení čisté. Ověření modelu a původu a následná výměna zařízení nebo ověřená obnova firmwaru jsou podloženější postupy než pokus ručně odstranit jedinou viditelnou komponentu.
