Michael JohnsonHvis du eier en Android-TV-boks med fastvare fra Videostrong, bør du undersøke hvor enheten kommer fra. 2. november opplyste Google at selskapet sammen med partnere hadde forstyrret XCPE-botnettet, som omfattet over 1,3 millioner TV-bokser. Som del av operasjonen arbeidet Google for å få styringsservere og skadevare-domener slått av, og Videostrong ble forbudt å produsere sertifiserte Android-enheter med forhåndsinstallerte Google-apper. Google beskrev operasjonen som et svar på en bakdør som var bygget inn i fastvaren til flere modeller.
Hva ble slått av?
Ifølge Google Threat Intelligence Group brukte XCPE komponenten x.cpe, som var innebygd i fastvaren. Den kommuniserte med en styringsserver, mottok kommandoer og lastet ned flere moduler. Google opplyste at selskapet hadde satt i gang juridiske tiltak mot domenene og serverne Videostrong brukte til å styre botnettet og installere skadevarekomponenter, samt mot styringsdomener for over et dusin andre skadevarefamilier.
Japans nasjonale politibyrå, Lumen, HUMAN Security, Plume, Synthient og TrendAI deltok i operasjonen. Google opplyste også at Videostrong, samt fremtidige datterselskaper og tilknyttede selskaper, ble forbudt å produsere og selge sertifiserte Android-enheter og levere programvare til andre sertifiserte produsenter. Selskapet sa at det hadde gjort endringer i kontrollen av integriteten til Android TV-fastvare.
«Forstyrret» er mer presist enn å love at hver TV er renset umiddelbart. Google beskriver nedstengingen av styringsinfrastrukturen og tilknyttede domener, men opplyser ikke at fastvaren på alle allerede solgte TV-bokser er blitt fjernreparert. Når serverne slås av, mister operatørene viktige kanaler for styring og levering av moduler, men programvaren som allerede er installert, blir ikke skrevet om av den grunn.
Hvorfor overlevde infeksjonen en omstart?
Skadevarekomponenten lå i fastvarens systempartisjon. Google skriver at x.cpe kjørte med systemrettigheter og kunne gjenopprette sin egen kopi etter en omstart hvis brukeren fjernet en app fra den vanlige datapartisjonen. Å prøve å finne og slette en mistenkelig app i Android-innstillingene garanterte derfor ikke at TV-boksen ble renset.
Bakdøren opprettholdt en kontinuerlig forbindelse til styringsinfrastrukturen og kunne motta kommandoer om å installere apper skjult, starte et kommandoskall og samle inn data. Google opplyste at selskapet hadde observert skjermbilder, inntasting av kommandoer, overføring av konto- og systeminformasjon og kjøring av skript. Nedlastede moduler gjorde enhetene til noder i boligbaserte proxy-nettverk eller brukte dem til annonsesvindel. Noen moduler installerte ytterligere skadevare.
Dermed kan en vanlig TV-boks bli en del av andres nettverksinfrastruktur. Trafikk gjennom hjemmenettverket kan se ut som om den kommer fra brukeren selv, selv om enheten i praksis utfører kommandoer fra en ekstern operatør. Google oppga også annonsesvindel og dataoverføring blant aktivitetene som ble avdekket.
Hva bør eiere av TV-bokser gjøre?
Begynn med å kontrollere enhetens nøyaktige merke og modell, hvem som har laget fastvaren, og opplysninger om sertifisering. Et merkenavn alene beviser ikke at enheten er infisert: Google sier at Videostrong-programvare havnet på mange modeller og merker, så enhetens opprinnelse og fastvare er avgjørende. Sammenlign opplysningene med den oppdaterte listen over offisielle Android TV-partnere og dokumentasjonen fra forhandleren eller produsenten.
Hvis du ikke klarer å fastslå hvor enheten kommer fra, eller den tilhører det berørte økosystemet, bør du koble TV-boksen fra nettverket og kontakte forhandleren eller produsenten for bekreftede råd om utskifting eller ny installasjon av fastvaren. Ikke regn med at tilbakestilling eller fjerning av apper er tilstrekkelig når komponenten ifølge Google ligger i systemfastvaren og kommer tilbake etter omstart. Ikke installer tilfeldige fastvarebilder fra forum: Et feil bilde kan gjøre enheten ubrukelig eller føre til nye risikoer.
Hvis du har brukt TV-boksen til å logge inn på kontoer eller vise personlig informasjon, bør du kontrollere kontoaktiviteten fra en annen, pålitelig enhet og endre passord ved tegn på uvedkommende tilgang. Dette beskytter kontoene, men renser ikke selve TV-boksen. Du må derfor ta stilling til hva du skal gjøre med enheten separat.
Hva gjenstår etter operasjonen?
Google knytter XCPE til bevisst installasjon og kommersiell bruk av Videostrongs bakdør. Selskapet anslår også at nedstengingen av styringsdomener for tilknyttede moduler kan hindre tilgang til dem på ytterligere over 10 millioner kompromitterte enheter utenfor XCPE. Dette er Googles anslag på den mulige virkningen av tiltak mot felles infrastruktur, ikke et bekreftet antall enheter som er renset.
Det viktigste for brukerne er enkelt: Hvis TV-boksen kommer fra en ukjent kilde eller bruker Videostrong-fastvare, er ikke appfjerning og omstart noen pålitelig bekreftelse på at den er ren. Det er bedre å undersøke modell og opprinnelse og deretter bytte ut enheten eller få fastvaren gjenopprettet på en bekreftet måte enn å forsøke å fjerne én synlig komponent manuelt.
