Michael JohnsonDen som äger en Android-tv-box med fast programvara från Videostrong bör kontrollera enhetens ursprung: den 2 november meddelade Google att företaget tillsammans med partner hade stört botnätet XCPE, som omfattade över 1,3 miljoner boxar. Som en del av insatsen arbetade Google för att få styrservrar och skadliga domäner nedstängda, och Videostrong förbjöds att tillverka certifierade Android-enheter med förinstallerade Google-appar. Google beskrev insatsen som ett svar på en bakdörr inbyggd i fast programvara för flera modeller.
Vad var det som stängdes ned?
Enligt Google Threat Intelligence Group använde XCPE komponenten x.cpe, som var inbyggd i den fasta programvaran. Den kommunicerade med en styrserver, tog emot kommandon och hämtade ytterligare moduler. Google meddelade att företaget vidtog rättsliga åtgärder mot domäner och servrar som Videostrong använde för att styra botnätet och installera skadliga komponenter, samt mot styrdomäner för över ett dussin skadliga familjer.
Japanska nationella polismyndigheten, Lumen, HUMAN Security, Plume, Synthient och TrendAI deltog i insatsen. Google uppgav också att företaget förbjöd Videostrong och dess framtida dotterbolag och närstående företag att tillverka och sälja certifierade Android-enheter samt att leverera programvara till andra certifierade tillverkare. Företaget meddelade att kontrollerna av integriteten hos fast programvara för Android TV hade ändrats.
Formuleringen ”störde verksamheten” är mer korrekt än ett löfte om att omedelbart rensa varje tv-apparat. Google beskriver hur styrinfrastrukturen och tillhörande domäner monterades ned; publiceringen uppger inte att fast programvara har åtgärdats på alla redan sålda boxar. När servrarna stängs ned förlorar operatörerna viktiga kanaler för styrning och leverans av moduler, men det skriver inte om den programvara som redan har installerats.
Varför infektionen överlevde omstarter
Den skadliga komponenten fanns i den fasta programvarans systempartition. Google skriver att x.cpe kördes med systembehörighet och kunde återställa sin egen kopia efter en omstart om användaren tog bort en app från den vanliga datapartitionen. Att försöka hitta och avinstallera en misstänkt app via Android-inställningarna garanterade därför inte att boxen blev ren.
Bakdörren upprätthöll en permanent anslutning till styrinfrastrukturen och kunde ta emot kommandon om att i hemlighet installera appar, starta ett skal och samla in data. Google uppgav att företaget hade observerat skärmdumpar, inmatning av kommandon, överföring av uppgifter om konton och system samt körning av skript. Hämtade moduler omvandlade enheterna till noder i bostadsproxy-nätverk eller använde dem för annonsbedrägerier; vissa moduler installerade ytterligare skadlig programvara.
Detta gör en vanlig tv-box till en del av någon annans nätverksinfrastruktur. Trafik via hemmets internetanslutning kan se ut att komma från användaren själv, trots att enheten i praktiken utför kommandon från en fjärroperatör. Google uppgav också att annonsbedrägerier och dataöverföring hörde till de identifierade målen.
Vad ägare av tv-boxar bör göra
Kontrollera först enhetens exakta märke och modell, tillverkaren av den fasta programvaran och uppgifterna om certifiering. Varumärket i sig bekräftar inte att enheten är infekterad: Google uppger att programvara från Videostrong hamnade i många modeller och varumärken, vilket innebär att enhetens ursprung och fasta programvara är avgörande. Jämför uppgifterna med den aktuella listan över officiella Android TV-partner och dokument från återförsäljaren eller tillverkaren.
Om det inte går att fastställa enhetens ursprung, eller om den hör till den berörda ekosfären, kopplar du bort boxen från nätverket och kontaktar återförsäljaren eller tillverkaren för bekräftade instruktioner om byte eller ominstallation av den fasta programvaran. Fabriksåterställning och avinstallation av appar bör inte betraktas som tillräckliga åtgärder för en komponent som enligt Googles beskrivning finns i systemets fasta programvara och återställs efter omstart. Installera inte slumpmässiga avbildningar av fast programvara från forum: en felaktig avbildning kan göra enheten obrukbar eller skapa nya risker.
Om boxen användes för att logga in på konton eller visade personlig information bör du kontrollera kontoaktiviteten från en annan, betrodd enhet och byta lösenord om det finns tecken på obehörig åtkomst. Det skyddar kontona, men rensar inte själva boxen, så du behöver fatta ett separat beslut om enheten.
Vad återstår efter insatsen?
Google kopplar XCPE till avsiktlig installation och kommersiell användning av Videostrongs bakdörr. Företaget bedömer också att nedstängning av styrdomäner för närstående moduler kan göra att över 10 miljoner komprometterade enheter utanför XCPE förlorar åtkomst till dem. Det är Googles uppskattning av den möjliga effekten av åtgärder mot en gemensam infrastruktur, inte ett bekräftat antal rensade enheter.
För användare är den praktiska slutsatsen enkel: om boxen kommer från en okänd källa eller använder fast programvara från Videostrong ger avinstallation av appar och omstart ingen tillförlitlig bekräftelse på att den är ren. Att kontrollera modell och ursprung och därefter byta ut enheten eller återställa den fasta programvaran enligt bekräftade instruktioner är mer välgrundat än att försöka ta bort en enda synlig komponent för hand.
