Michael JohnsonEigenaren van een Android-tv-box met firmware van fabrikant Videostrong doen er goed aan de herkomst van hun apparaat te controleren: op 2 november meldde Google dat het samen met partners het XCPE-botnet had verstoord, dat meer dan 1,3 miljoen tv-boxen omvatte. Als onderdeel van de operatie streefde Google naar de uitschakeling van besturingsservers en kwaadaardige domeinen. Videostrong kreeg bovendien een verbod op de productie van gecertificeerde Android-apparaten met vooraf geïnstalleerde Google-apps. Google beschreef de operatie als reactie op een achterdeur die was ingebouwd in de firmware van verschillende modellen.
Wat is er precies uitgeschakeld?
Volgens Google Threat Intelligence Group maakte XCPE gebruik van het in de firmware ingebouwde onderdeel x.cpe. Dat maakte verbinding met een besturingsserver, ontving opdrachten en downloadde extra modules. Google meldde juridische stappen tegen domeinen en servers waarmee Videostrong het botnet beheerde en kwaadaardige onderdelen installeerde, en tegen de besturingsdomeinen van meer dan een dozijn andere malwarefamilies.
De Japanse Nationale Politie, Lumen, HUMAN Security, Plume, Synthient en TrendAI namen deel aan de operatie. Google verklaarde ook dat het Videostrong en toekomstige dochterondernemingen en gelieerde bedrijven heeft verboden gecertificeerde Android-apparaten te produceren en verkopen, en software aan andere gecertificeerde fabrikanten te leveren. Het bedrijf meldde daarnaast wijzigingen in de controle van de firmware-integriteit voor Android TV.
‘De werking verstoren’ is een nauwkeurigere omschrijving dan beloven elke tv onmiddellijk op te schonen. Google beschrijft de ontmanteling van de besturingsinfrastructuur en bijbehorende domeinen; de publicatie meldt niet dat de firmware op alle reeds verkochte tv-boxen op afstand is hersteld. Door de servers uit te schakelen verliezen de operators belangrijke kanalen voor besturing en het verspreiden van modules, maar de geïnstalleerde software wordt daardoor niet vanzelf herschreven.
Waarom de besmetting een herstart overleefde
Het kwaadaardige onderdeel bevond zich in de systeempartitie van de firmware. Google schrijft dat x.cpe met systeemrechten draaide en na een herstart zijn kopie kon herstellen als een gebruiker een app uit de gewone gegevenspartitie verwijderde. Een verdachte app via de Android-instellingen zoeken en verwijderen bood daarom geen garantie dat de tv-box schoon was.
De achterdeur onderhield een permanente verbinding met de besturingsinfrastructuur en kon opdrachten ontvangen om apps verborgen te installeren, een shell te starten en gegevens te verzamelen. Google meldde dat het schermafbeeldingen had waargenomen, evenals het invoeren van opdrachten, het doorsturen van account- en systeemgegevens en het uitvoeren van scripts. Gedownloade modules maakten van apparaten knooppunten in residentiële proxynetwerken of gebruikten ze voor advertentiefraude; sommige modules installeerden aanvullende malware.
Zo wordt een gewone tv-box onderdeel van de netwerkinfrastructuur van iemand anders. Verkeer via de thuisverbinding kan eruitzien als verkeer van de gebruiker zelf, terwijl het apparaat in werkelijkheid opdrachten van een externe operator uitvoert. Google noemde frauduleuze advertentievertoningen en gegevensoverdracht ook als vastgestelde activiteiten.
Wat eigenaren van een tv-box kunnen doen
Controleer eerst het exacte merk en model, de fabrikant van de firmware en de certificeringsgegevens van het apparaat. De merknaam alleen bewijst niet dat een apparaat besmet is: Google spreekt over meerdere modellen en merken waarop software van Videostrong terechtkwam. De herkomst van het apparaat en de firmware zijn dus doorslaggevend. Vergelijk de gegevens met de actuele lijst van officiële Android TV-partners en de documentatie van de verkoper of fabrikant.
Als de herkomst van het apparaat niet kan worden vastgesteld of het tot het getroffen ecosysteem behoort, koppel de tv-box dan los van het netwerk en vraag de verkoper of fabrikant om bevestigde instructies voor vervanging of het opnieuw installeren van de firmware. Een fabrieksreset en het verwijderen van apps mogen niet worden beschouwd als voldoende oplossing voor een onderdeel dat volgens Google in de systeemfirmware staat en na een herstart wordt hersteld. Installeer geen willekeurige firmware-images van forums: een verkeerde image kan het apparaat onbruikbaar maken of nieuwe risico’s veroorzaken.
Als de tv-box is gebruikt om in te loggen op accounts of persoonlijke informatie heeft weergegeven, controleer dan vanaf een ander, vertrouwd apparaat de activiteit van die accounts en wijzig de wachtwoorden als er tekenen zijn van toegang door derden. Dat beschermt de accounts, maar schoont de tv-box zelf niet op. Over het apparaat moet dus afzonderlijk worden beslist.
Wat er na de operatie overblijft
Google brengt XCPE in verband met de doelbewuste installatie en het commerciële gebruik van de achterdeur van Videostrong. Het bedrijf schat ook dat het uitschakelen van de besturingsdomeinen van verwante modules mogelijk nog meer dan 10 miljoen gecompromitteerde apparaten buiten XCPE de toegang ertoe ontneemt. Dit is een inschatting van Google over het mogelijke effect van maatregelen tegen gedeelde infrastructuur, geen bevestigd aantal opgeschoonde apparaten.
De belangrijkste praktische conclusie voor gebruikers is eenvoudig: als een tv-box uit een onbekende bron komt of firmware van Videostrong gebruikt, bieden apps verwijderen en het apparaat opnieuw opstarten geen betrouwbare bevestiging dat het schoon is. Het model en de herkomst controleren en het apparaat vervolgens vervangen of de firmware op bevestigde wijze herstellen, is beter onderbouwd dan proberen één zichtbaar onderdeel handmatig te verwijderen.
