Michael JohnsonWłaściciel przystawki Android TV z oprogramowaniem układowym producenta Videostrong powinien sprawdzić pochodzenie urządzenia: 2 listopada Google poinformowało, że wraz z partnerami zakłóciło działanie botnetu XCPE, do którego należało ponad 1,3 mln przystawek. W ramach operacji Google dążyło do wyłączenia serwerów sterujących i złośliwych domen, a Videostrong zakazano produkcji certyfikowanych urządzeń Android z preinstalowanymi aplikacjami Google. Google opisało operację jako odpowiedź na backdoor wbudowany w oprogramowanie układowe wybranych modeli.
Co dokładnie wyłączono
Według Google Threat Intelligence Group XCPE wykorzystywał komponent x.cpe wbudowany w oprogramowanie układowe. Łączył się on z serwerem sterującym, odbierał polecenia i pobierał dodatkowe moduły. Google poinformowało o działaniach prawnych przeciwko domenom i serwerom, za pośrednictwem których Videostrong zarządzało botnetem i instalowało złośliwe komponenty, a także przeciwko domenom sterującym ponad tuzina rodzin złośliwego oprogramowania.
W operacji uczestniczyły japońska Narodowa Agencja Policji, Lumen, HUMAN Security, Plume, Synthient i TrendAI. Google poinformowało również, że zakazało Videostrong oraz jej przyszłym spółkom zależnym i powiązanym produkowania i sprzedawania certyfikowanych urządzeń Android, a także dostarczania oprogramowania innym certyfikowanym producentom. Firma przekazała, że zmieniła procedury weryfikacji integralności oprogramowania układowego Android TV.
Sformułowanie „zakłóciło działanie” jest trafniejsze niż obietnica natychmiastowego oczyszczenia każdego telewizora. Google opisuje demontaż infrastruktury sterującej i powiązanych domen; publikacja nie informuje o zdalnej naprawie oprogramowania układowego we wszystkich sprzedanych już przystawkach. Wyłączenie serwerów pozbawia operatorów ważnych kanałów sterowania i dostarczania modułów, ale samo w sobie nie zmienia zainstalowanego oprogramowania.
Dlaczego infekcja przetrwała ponowne uruchomienie
Złośliwy komponent znajdował się w systemowej partycji oprogramowania układowego. Google pisze, że x.cpe uruchamiał się z uprawnieniami systemowymi i mógł odtworzyć swoją kopię po ponownym uruchomieniu, jeśli użytkownik usunął aplikację ze zwykłej partycji danych. Dlatego próba znalezienia i usunięcia podejrzanej aplikacji w ustawieniach Androida nie gwarantowała oczyszczenia przystawki.
Backdoor utrzymywał stałe połączenie z infrastrukturą sterującą i mógł odbierać polecenia ukrytego instalowania aplikacji, uruchamiania powłoki i zbierania danych. Google poinformowało, że zaobserwowało przechwytywanie zrzutów ekranu, wprowadzanie poleceń, przesyłanie informacji o kontach i systemie, a także uruchamianie skryptów. Pobrane moduły zmieniały urządzenia w węzły domowych sieci proxy lub wykorzystywały je do oszustw reklamowych; część modułów instalowała dodatkowe złośliwe oprogramowanie.
W ten sposób zwykła przystawka TV staje się częścią cudzej infrastruktury sieciowej. Ruch przez domowe łącze może wyglądać jak ruch samego użytkownika, choć urządzenie faktycznie wykonuje polecenia zdalnego operatora. Wśród wykrytych celów Google wymieniało również oszustwa związane z wyświetlaniem reklam i przesyłanie danych.
Co powinien zrobić właściciel przystawki
Najpierw sprawdź dokładną markę i model urządzenia, producenta oprogramowania układowego oraz informacje o certyfikacji. Sama nazwa marki nie potwierdza infekcji: Google mówi o wielu modelach i markach, do których trafiało oprogramowanie Videostrong, więc decydujące znaczenie mają pochodzenie urządzenia i jego oprogramowanie układowe. Porównaj te informacje z aktualną listą oficjalnych partnerów Android TV oraz dokumentami sprzedawcy lub producenta.
Jeśli nie da się ustalić pochodzenia urządzenia albo należy ono do ekosystemu objętego problemem, odłącz przystawkę od sieci i skontaktuj się ze sprzedawcą lub producentem, aby uzyskać potwierdzone instrukcje dotyczące wymiany albo ponownego wgrania oprogramowania układowego. Przywrócenia ustawień fabrycznych ani usuwania aplikacji nie należy uznawać za wystarczające rozwiązanie w przypadku komponentu, który — według opisu Google — znajduje się w systemowym oprogramowaniu układowym i odtwarza się po ponownym uruchomieniu. Nie instaluj przypadkowych obrazów oprogramowania układowego znalezionych na forach: błędny obraz może unieruchomić urządzenie lub stworzyć nowe zagrożenia.
Jeśli przystawka służyła do logowania na konta lub wyświetlała prywatne informacje, sprawdź aktywność tych kont z innego, zaufanego urządzenia i zmień hasła, jeśli pojawią się oznaki nieautoryzowanego dostępu. To krok służący ochronie kont: nie oczyszcza samej przystawki, dlatego decyzję dotyczącą urządzenia trzeba podjąć osobno.
Co pozostaje po operacji
Google łączy XCPE z celowym instalowaniem i komercyjnym wykorzystywaniem backdoora Videostrong. Firma szacuje również, że wyłączenie domen sterujących powiązanych modułów może pozbawić dostępu do nich ponad 10 mln kolejnych zainfekowanych urządzeń spoza XCPE. Jest to szacunek Google dotyczący możliwego efektu działań przeciwko wspólnej infrastrukturze, a nie potwierdzona liczba oczyszczonych urządzeń.
Dla użytkowników najważniejszy praktyczny wniosek jest prosty: jeśli przystawka pochodzi z nieznanego źródła lub korzysta z oprogramowania układowego Videostrong, usunięcie aplikacji i ponowne uruchomienie nie dają wiarygodnego potwierdzenia, że urządzenie jest czyste. Sprawdzenie modelu i pochodzenia, a następnie wymiana urządzenia albo potwierdzone przywrócenie oprogramowania układowego to lepsze rozwiązanie niż próba ręcznego usunięcia jednego widocznego komponentu.
