Michael Johnsonבעלי ממיר Android לטלוויזיה עם קושחה של Videostrong צריכים לבדוק את מקור המכשיר: ב־2 בנובמבר הודיעה Google כי יחד עם שותפים שיבשה את פעילותו של בוטנט XCPE, שכלל יותר מ־1.3 מיליון ממירים. במסגרת המבצע פעלה Google להשבתת שרתי השליטה והדומיינים הזדוניים, ונאסר על Videostrong לייצר מכשירי Android מאושרים עם אפליקציות Google מותקנות מראש. Google תיארה את המבצע כתגובה לדלת אחורית ששולבה בקושחה של דגמים מסוימים.
מה בדיוק הושבת
לפי קבוצת מודיעין האיומים של Google, XCPE השתמש ברכיב x.cpe שהוטמע בקושחה. הרכיב התחבר לשרת שליטה, קיבל פקודות והוריד מודולים נוספים. Google דיווחה על צעדים משפטיים נגד הדומיינים והשרתים שדרכם Videostrong ניהלה את הבוטנט והתקינה רכיבים זדוניים, וכן נגד דומייני השליטה של יותר מתריסר משפחות נוזקה.
במבצע השתתפו הסוכנות הלאומית למשטרה של יפן, Lumen, HUMAN Security, Plume, Synthient ו־TrendAI. Google גם הצהירה כי אסרה על Videostrong ועל חברות הבת והחברות המסונפות העתידיות שלה לייצר ולמכור מכשירי Android מאושרים, ולספק תוכנה ליצרנים מאושרים אחרים. החברה דיווחה על שינויים בבדיקות תקינות הקושחה של Android TV.
הניסוח „שיבשה את הפעילות” מדויק יותר מהבטחה לנקות מיד כל טלוויזיה. Google מתארת את פירוק תשתית השליטה ואת הדומיינים הקשורים אליה; בפרסום לא דווח על תיקון קושחה מרחוק בכל הממירים שכבר נמכרו. השבתת השרתים שוללת מהמפעילים ערוצי שליטה והפצת מודולים חשובים, אך כשלעצמה אינה מחליפה את התוכנה שכבר הותקנה.
מדוע ההדבקה שרדה אתחול מחדש
הרכיב הזדוני נמצא במחיצת המערכת של הקושחה. לפי Google, x.cpe פעל בהרשאות מערכת ויכול היה לשחזר את העותק שלו לאחר אתחול מחדש אם המשתמש מחק אפליקציה מהמחיצה הרגילה של הנתונים. לכן, ניסיון למצוא ולהסיר אפליקציה חשודה דרך הגדרות Android לא הבטיח שהממיר ינוקה.
הדלת האחורית שמרה על חיבור קבוע לתשתית השליטה ויכלה לקבל פקודות להתקנת אפליקציות בסתר, להפעיל מעטפת ולאסוף נתונים. Google דיווחה כי צפתה בצילומי מסך, בהזנת פקודות, בהעברת פרטי חשבונות ונתוני מערכת, וכן בהרצת סקריפטים. המודולים שהורדו הפכו את המכשירים לצמתים ברשתות פרוקסי ביתיות או שימשו להונאת פרסום; חלק מהמודולים התקינו תוכנות זדוניות נוספות.
כך ממיר טלוויזיה רגיל הופך לחלק מתשתית רשת של גורם אחר. תעבורה דרך החיבור הביתי עשויה להיראות כתעבורה של המשתמש עצמו, אף שהמכשיר למעשה מבצע פקודות של מפעיל מרוחק. בין היעדים שזיהתה Google נכללו גם הונאת פרסום והעברת נתונים.
מה בעלי ממירים צריכים לעשות
תחילה בדקו את המותג והדגם המדויקים של המכשיר, את יצרן הקושחה ואת פרטי האישור. שם המותג לבדו אינו מעיד על הדבקה: Google מדברת על דגמים ומותגים רבים שאליהם הגיעה תוכנת Videostrong, ולכן מקור המכשיר והקושחה שלו הם שקובעים. השוו את הפרטים לרשימת השותפים הרשמית והעדכנית של Android TV ולמסמכים של המוכר או היצרן.
אם אי אפשר לברר את מקור המכשיר, או אם הוא שייך למערכת האקולוגית שנפגעה, נתקו את הממיר מהרשת ופנו למוכר או ליצרן לקבלת הנחיות מאומתות להחלפה או להתקנה מחדש של הקושחה. אין לראות באיפוס הגדרות ובהסרת אפליקציות פתרון מספק לרכיב שלפי תיאורה של Google שמור בקושחת המערכת ומשוחזר לאחר הפעלה מחדש. אל תתקינו במכשיר תמונות קושחה אקראיות מפורומים: תמונה שגויה עלולה להשבית אותו או ליצור סיכונים חדשים.
אם השתמשתם בממיר כדי להיכנס לחשבונות או לצפות בו במידע אישי, בדקו את פעילות החשבונות ממכשיר אחר ומהימן והחליפו סיסמאות אם יש סימנים לגישה של גורם זר. זהו צעד להגנה על החשבונות: הוא אינו מנקה את הממיר עצמו, ולכן יש לקבל החלטה נפרדת לגבי המכשיר.
מה נותר לאחר המבצע
Google קושרת את XCPE להתקנה מכוונת ולשימוש מסחרי בדלת האחורית של Videostrong. החברה מעריכה גם כי השבתת דומייני השליטה של המודולים הקשורים עשויה למנוע גישה אליהם מיותר מ־10 מיליון מכשירים נגועים נוספים מחוץ ל־XCPE. זוהי הערכת Google בדבר ההשפעה האפשרית של צעדים נגד תשתית משותפת, ולא מספר מאומת של מכשירים שנוקו.
עבור המשתמשים, המסקנה המעשית פשוטה: אם הממיר הגיע ממקור לא ידוע או משתמש בקושחה של Videostrong, הסרת אפליקציות והפעלה מחדש אינן מספקות אישור אמין שהמכשיר נקי. בדיקת הדגם והמקור, ולאחר מכן החלפת המכשיר או שחזור מאומת של הקושחה, הן אפשרויות מבוססות יותר מניסיון להסיר ידנית רכיב אחד שנראה לעין.
