Ponad milion TV boxów miało złośliwe oprogramowanie prosto z fabryki. Producentom teraz ukrócił to sam Google

Na rynku jest mnóstwo tanich dekoderów telewizyjnych, produkowanych dosłownie przez każdego. Zazwyczaj kupujesz je, podłączasz i nie martwisz się więcej, maksymalnie po kilku latach decydujesz się na zakup modelu nowszej generacji. Świeży raport zespołu bezpieczeństwa Google pokazuje jednak, że niektóre TV boxy dotarły do kupujących z preinstalowanym złośliwym oprogramowaniem. Firma konkretnie mówi o urządzeniach chińskiej firmy Videostrong, stojącej za popularną marką MECOOL.

Producent miał sprzedawać tylne drzwi innym przestępcom

Według raportu Google, złośliwe oprogramowanie było wbudowane bezpośrednio w firmware i działało z uprawnieniami systemowymi. Użytkownik nie mógł go więc łatwo odinstalować. Videostrong następnie sprzedawał dostęp do zainfekowanych boxów innym grupom, które uruchamiały na nich własne moduły. Tak zwany botnet, czyli sieć zainfekowanych urządzeń, liczył ponad 1,3 miliona boxów.

Boxy potajemnie klikały w reklamy, udostępniały połączenie internetowe swoich właścicieli obcym osobom jako tak zwane rezydencjalne proxy i pobierały kolejne złośliwe oprogramowanie. Google dodatkowo przechwycił, jak operatorzy na urządzeniach robili zrzuty ekranu, symulowali naciśnięcia klawiszy i wysyłali wrażliwe dane, w tym informacje o kontach. Złośliwe oprogramowanie potrafiło również niezauważalnie wyłączyć ochronę Google Play Protect.

Według Google, nie był to problem, który mógłby być spowodowany na przykład błędem jednego pracownika. Złośliwe oprogramowanie zostało znalezione w wielu modelach i markach, i to kilka lat temu. W ujawnieniu uczestniczyła również firma badawcza Synthient, którą według strony BleepingComputer naprowadził na trop box MECOOL KM9 Pro Max kupiony jesienią ubiegłego roku. Na serwerach atakujących rzekomo znaleziono dokumenty stworzone przez dyrektora ds. rozwoju Videostrong. Szkodliwe pakiety miały być nawet podpisane e-mailami Videostrong.

Google odciął producenta, ale problem nie znika

Google, wraz z japońską policją i firmami ochroniarskimi, wyłączył serwery kontrolne botnetu. W ten sposób, według niego, odciął również kolejne co najmniej 10 milionów urządzeń zainfekowanych pokrewnymi rodzajami złośliwego oprogramowania. Videostrong nie może już produkować urządzeń z preinstalowanymi aplikacjami Google, a Google jednocześnie zmodyfikował certyfikację, ponieważ złośliwe oprogramowanie omijało jego testy, instalując się dopiero po pierwszym uruchomieniu.

Serwis 9to5Google jest optymistyczny: bez serwerów kontrolnych zainfekowane boxy powinny być bezpieczne, ale właściciele powinni rozważyć ich wymianę. BleepingComputer jest jednak ostrożniejszy. Szkodliwy kod w boxach podobno pozostaje, a po jego usunięciu zainstaluje się ponownie po restarcie z partycji systemowej. Według niego, niezawodnie pomoże tylko czysty firmware lub odłączenie boxa od internetu. Tyle że firmware dostarcza właśnie producent.

Boxy MECOOL sprzedawano również w Czechach, Alza miała w ofercie na przykład modele KM9 Pro, KM2 Plus i KM7 Plus. Czy one również są zainfekowane, na razie nie wiemy na pewno. Jedną wskazówkę jednak macie: złośliwe oprogramowanie wyłącza Google Play Protect. Jeśli macie go wyłączonego w Sklepie Play na boxie i sami tego nie zrobiliście, to jest to sygnał ostrzegawczy.

Google już wcześniej ostrzegał przed nieoficjalnymi boxami bez certyfikacji. Teraz okazało się, że nawet certyfikat nie jest stuprocentową gwarancją. Jeśli dopiero wybieracie nowy box, Google zaleca sięgnąć po sprawdzoną markę z listy partnerów na stronie Android TV.

Używacie w domu TV boxa MECOOL, czy innej mniej znanej marki?

Źródła: Google, BleepingComputer, Android Authority, 9to5Google