Michael JohnsonВласникам Android-ТВ-приставок із прошивкою від Videostrong варто перевірити походження пристрою: 2 листопада Google повідомила, що разом із партнерами порушила роботу ботнету XCPE, до якого входило понад 1,3 млн приставок. У межах операції Google домагалася відключення серверів керування та шкідливих доменів, а Videostrong заборонили випускати сертифіковані Android-пристрої з попередньо встановленими застосунками Google. Google описала операцію як відповідь на бекдор, вбудований у прошивки низки моделей.
Що саме відключили
За даними Google Threat Intelligence Group, XCPE використовував компонент x.cpe, вбудований у прошивку. Він зв’язувався із сервером керування, отримував команди й завантажував додаткові модулі. Google повідомила про юридичні заходи проти доменів і серверів, за допомогою яких Videostrong керувала ботнетом і встановлювала шкідливі компоненти, а також проти доменів керування понад десятка шкідливих сімейств.
В операції брали участь японське Національне поліцейське агентство, Lumen, HUMAN Security, Plume, Synthient і TrendAI. Google також заявила, що заборонила Videostrong, її майбутнім дочірнім і афілійованим компаніям виробляти й продавати сертифіковані Android-пристрої та постачати програмне забезпечення іншим сертифікованим виробникам. Компанія повідомила про зміни у перевірці цілісності прошивок Android TV.
Формулювання «порушила роботу» точніше, ніж обіцянка миттєво очистити кожен телевізор. Google описує ліквідацію інфраструктури керування та пов’язаних доменів; у публікації не йдеться про віддалене виправлення прошивок на всіх уже проданих приставках. Відключення серверів позбавляє операторів важливих каналів керування та доставки модулів, але саме по собі не переписує встановлене програмне забезпечення.
Чому зараження переживало перезавантаження
Шкідливий компонент містився в системному розділі прошивки. Google пише, що x.cpe запускався із системними привілеями та міг відновити свою копію після перезавантаження, якщо користувач видаляв застосунок зі звичайного розділу даних. Тому спроба знайти й видалити підозрілий застосунок у налаштуваннях Android не гарантувала очищення приставки.
Бекдор підтримував постійне з’єднання з інфраструктурою керування й міг отримувати команди на приховане встановлення застосунків, запуск оболонки та збирання даних. Google повідомила, що спостерігала захоплення знімків екрана, введення команд, передавання даних про облікові записи й систему, а також запуск скриптів. Завантажені модулі перетворювали пристрої на вузли житлових проксі-мереж або використовували їх для рекламного шахрайства; деякі модулі встановлювали додаткове шкідливе програмне забезпечення.
Так звичайна ТВ-приставка стає частиною чужої мережевої інфраструктури. Трафік через домашнє підключення може виглядати як трафік самого користувача, хоча пристрій фактично виконує команди віддаленого оператора. Серед виявлених цілей Google також називала шахрайські покази реклами та передавання даних.
Що робити власникам приставок
Спершу перевірте точну марку й модель пристрою, виробника прошивки та відомості про сертифікацію. Сама назва бренду не підтверджує зараження: Google говорить про багато моделей і брендів, на які потрапляло програмне забезпечення Videostrong, тож вирішальне значення мають походження пристрою та його прошивка. Звірте ці дані з актуальним списком офіційних партнерів Android TV і документами продавця або виробника.
Якщо не вдається встановити походження пристрою або він належить до ураженої екосистеми, від’єднайте приставку від мережі й зверніться до продавця чи виробника по підтверджені інструкції щодо заміни або перепрошивання. Скидання налаштувань і видалення застосунків не слід вважати достатнім рішенням для компонента, який, за описом Google, зберігається в системній прошивці й відновлюється після перезапуску. Не встановлюйте на пристрій випадкові образи прошивки з форумів: помилковий образ може вивести його з ладу або створити нові ризики.
Якщо приставку використовували для входу в облікові записи або на ній відображалася особиста інформація, перевірте активність цих облікових записів з іншого, надійного пристрою та змініть паролі, якщо помітите ознаки стороннього доступу. Цей крок стосується захисту облікових записів: він не очищає саму приставку, тому рішення щодо пристрою потрібно ухвалювати окремо.
Що залишається після операції
Google пов’язує XCPE з навмисним встановленням і комерційним використанням бекдора Videostrong. Компанія також оцінює, що відключення доменів керування пов’язаних модулів може позбавити доступу до них ще понад 10 млн скомпрометованих пристроїв поза межами XCPE. Це оцінка Google можливого ефекту заходів проти спільної інфраструктури, а не підтверджена кількість очищених пристроїв.
Для користувачів головний практичний висновок простий: якщо приставку придбали з невідомого джерела або вона використовує прошивку Videostrong, видалення застосунків і перезавантаження не дають надійного підтвердження, що пристрій чистий. Перевірити модель і походження, а потім замінити пристрій або відновити прошивку за підтвердженою процедурою — обґрунтованіший шлях, ніж намагатися вручну видалити один видимий компонент.
