Michael JohnsonVideostrongin laiteohjelmistolla varustetun Android-TV-boksin omistajan kannattaa selvittää laitteen alkuperä: Google kertoi 2. marraskuuta häirinneensä yhdessä kumppaneidensa kanssa XCPE-bottiverkon toimintaa. Verkkoon oli liitetty yli 1,3 miljoonaa boksia. Operaation yhteydessä Google pyrki sulkemaan ohjauspalvelimia ja haitallisia verkkotunnuksia, ja Videostrongilta kiellettiin sertifioitujen Android-laitteiden valmistaminen, jos niihin on esiasennettu Googlen sovelluksia. Google kuvasi operaation vastaukseksi takaoveen, joka oli upotettu useiden mallien laiteohjelmistoihin.
Mitä tarkalleen ottaen kytkettiin pois käytöstä
Google Threat Intelligence Groupin mukaan XCPE käytti laiteohjelmistoon sisältyvää x.cpe-komponenttia. Se otti yhteyden ohjauspalvelimeen, vastaanotti komentoja ja latasi lisämoduuleja. Google kertoi oikeustoimista Videostrongin bottiverkon ohjaamiseen ja haitallisten komponenttien asentamiseen käyttämien verkkotunnusten ja palvelimien sekä yli tusinan muun haitallisen perheen ohjausverkkotunnuksia vastaan.
Operaatioon osallistuivat Japanin kansallinen poliisivirasto, Lumen, HUMAN Security, Plume, Synthient ja TrendAI. Google ilmoitti myös kieltäneensä Videostrongia ja sen tulevia tytäryhtiöitä ja osakkuusyhtiöitä valmistamasta ja myymästä sertifioituja Android-laitteita sekä toimittamasta ohjelmistoja muille sertifioiduille valmistajille. Yhtiö kertoi muutoksista Android TV:n laiteohjelmistojen eheyden tarkistamiseen.
Ilmaus ”häiritsi toimintaa” on täsmällisempi kuin lupaus jokaisen television välittömästä puhdistamisesta. Google kuvaa ohjausinfrastruktuurin ja siihen liittyvien verkkotunnusten alasajoa; julkaisussa ei kerrota, että jo myytyjen boksien laiteohjelmistot olisi korjattu etänä. Palvelimien sulkeminen vie operaattoreilta tärkeitä ohjaus- ja moduulien jakelukanavia, mutta ei itsessään kirjoita asennettua ohjelmistoa uudelleen.
Miksi tartunta säilyi uudelleenkäynnistyksen jälkeen
Haitallinen komponentti sijaitsi laiteohjelmiston järjestelmäosiossa. Googlen mukaan x.cpe käynnistyi järjestelmäoikeuksin ja pystyi palauttamaan kopionsa uudelleenkäynnistyksen jälkeen, jos käyttäjä poisti sovelluksen tavallisesta dataosiosta. Siksi epäilyttävän sovelluksen etsiminen ja poistaminen Androidin asetuksista ei taannut boksin puhdistumista.
Takaovi piti jatkuvaa yhteyttä ohjausinfrastruktuuriin ja pystyi vastaanottamaan komentoja sovellusten huomaamattomaan asentamiseen, komentotulkin käynnistämiseen ja tietojen keräämiseen. Google kertoi havainneensa näyttökuvien kaappaamista, komentojen syöttämistä, tili- ja järjestelmätietojen lähettämistä sekä skriptien suorittamista. Ladatut moduulit muuttivat laitteet asuinverkon välityspalvelinverkkojen solmuiksi tai käyttivät niitä mainoshuijauksiin; osa moduuleista asensi lisää haittaohjelmia.
Tavallisesta TV-boksista tuli näin osa jonkun muun verkkoinfrastruktuuria. Kodin internetyhteyden kautta kulkeva liikenne voi näyttää käyttäjän omalta liikenteeltä, vaikka laite tosiasiassa suorittaa etäoperaattorin komentoja. Google mainitsi havaittujen käyttötarkoitusten joukossa myös mainosnäyttöjen väärentämisen ja tietojen välittämisen.
Mitä boksin omistajan kannattaa tehdä
Tarkista ensin laitteen tarkka merkki ja malli, laiteohjelmiston valmistaja sekä sertifiointitiedot. Tuotemerkki yksinään ei osoita tartuntaa: Googlen mukaan Videostrongin ohjelmistoa päätyi useisiin malleihin ja tuotemerkkeihin, joten ratkaisevaa on laitteen alkuperä ja sen laiteohjelmisto. Vertaa tietoja Android TV:n virallisten kumppanien ajantasaiseen luetteloon sekä myyjän tai valmistajan asiakirjoihin.
Jos laitteen alkuperää ei voi selvittää tai se kuuluu vaikutusten piiriin joutuneeseen ekosysteemiin, irrota boksi verkosta ja pyydä myyjältä tai valmistajalta vahvistetut ohjeet vaihtoon tai laiteohjelmiston uudelleenasennukseen. Tehdasasetusten palauttamista ja sovellusten poistamista ei pidä pitää riittävänä ratkaisuna komponentille, joka Googlen kuvauksen mukaan sijaitsee järjestelmän laiteohjelmistossa ja palautuu uudelleenkäynnistyksen jälkeen. Älä asenna laitteeseen sattumanvaraisia laiteohjelmistokuvia keskustelupalstoilta: väärä kuva voi rikkoa laitteen tai aiheuttaa uusia riskejä.
Jos boksia on käytetty tileille kirjautumiseen tai sillä on näytetty henkilökohtaisia tietoja, tarkista tilien toiminta toisella, luotetulla laitteella ja vaihda salasanat, jos havaitset merkkejä ulkopuolisesta käytöstä. Tämä suojaa käyttäjätilejä, mutta ei puhdista itse boksia, joten laitetta koskeva ratkaisu on tehtävä erikseen.
Mitä operaation jälkeen jää
Google yhdistää XCPE:n Videostrongin takaoven tarkoitukselliseen asentamiseen ja kaupalliseen käyttöön. Yhtiö arvioi myös, että siihen liittyvien moduulien ohjausverkkotunnusten sulkeminen voi viedä pääsyn niihin yli 10 miljoonalta muulta vaarantuneelta laitteelta XCPE:n ulkopuolella. Tämä on Googlen arvio yhteiseen infrastruktuuriin kohdistuvien toimien mahdollisesta vaikutuksesta, ei vahvistettu määrä puhdistettuja laitteita.
Käyttäjien kannalta tärkein käytännön johtopäätös on selvä: jos boksi on peräisin tuntemattomasta lähteestä tai käyttää Videostrongin laiteohjelmistoa, sovellusten poistaminen ja uudelleenkäynnistys eivät varmista, että laite on puhdas. Mallin ja alkuperän tarkistaminen ja sen jälkeen laitteen vaihtaminen tai laiteohjelmiston palauttaminen vahvistetulla tavalla on perustellumpi ratkaisu kuin yhden näkyvän komponentin poistaminen käsin.
