Amikor új streaming eszközt veszel, valószínűleg azon gondolkodsz, hogy működik-e rajta a Netflix, milyen gyorsan indulnak az alkalmazások, vagy mennyire gagyi a távirányító. Arra viszont aligha gondolsz, hogy a gyártó esetleg szándékosan kártevőt telepített rá, még mielőtt kibontottad volna a dobozt.

A Google szerint pontosan ez történt több mint 1,3 millió Android TV set-top box esetében. Ráadásul a gyártó állítólag bevételi forrássá tette ezeket az eszközöket azzal, hogy hozzáférést adott hozzájuk kiberbűnözőknek – olyan hardverhez, ami emberek otthonában működik.

A Google Threat Intelligence Groupja egy november 2-i jelentésben azonosította a Videostrong Technologyt, mint azt a céget, amely a XCPE nevű rosszindulatú rendszert fejlesztette és működtette. A kutatók szerint nagy bizonyossággal állítható, hogy ez szándékos tevékenység volt, nem pedig egy figyelmetlen alkalmazott hibája vagy egy észrevétlen biztonsági probléma következménye.

A Videostrong Android-alapú eszközöket gyárt különböző márkanevek alatt, így a vásárlók sokszor a cég nevét sem ismerik fel. A Google több éven át számos termékben találta meg a kártékony szoftvert, és elsősorban televíziós streaming boxok érintettek.

Különösen aggasztó, ahogyan a kártevő működött. Ahelyett, hogy megpróbálta volna rávenni a felhasználókat egy gyanús alkalmazás letöltésére, a gyártó állítólag közvetlenül a firmware-be épített egy hátsó kaput.

Így a szoftver rendszerszintű jogosultságokat kapott, és távoli szerverekhez tudott kapcsolódni utasításokért. Engedély nélkül tölthetett le további alkalmazásokat, parancsokat hajthatott végre, képernyőképeket készíthetett, és adatokat gyűjthetett a fertőzött eszközről.

A Google azt is megfigyelte, hogy az üzemeltetők fiókadatokat és rendszerlogokat loptak, billentyűleütéseket injektáltak, és távoli hozzáférést alakítottak ki a kompromittált eszközökhöz. Ez jóval súlyosabb beavatkozás, mint egy kéretlen, reklámokat mutogató alkalmazás.

A kártevő még a Google Play Protectet is le tudta tiltani, vagyis kiiktatott egy olyan biztonsági védelmet, amely épp azt a célt szolgálja, hogy az Android-felhasználók elkerüljék a veszélyes szoftvereket. Mivel az eredeti hátsó kapu a firmware-ben volt, az alkalmazás eltávolítása önmagában nem szüntette meg a fertőzést.

Ha valakinek sikerült is eltávolítania a telepített komponenst, az ártó szolgáltatás a készülék újraindításakor egyszerűen újratelepíthette. A gyári visszaállítás sem feltétlenül jelent megoldást, ha az alap firmware továbbra is fertőzött marad.

Az internetkapcsolatod lett az üzlet része

A támadókat nem feltétlenül az érdekelte, hogy ki mit néz a tévéjén. A művelet egyik fő eleme az volt, hogy a fertőzött eszközöket lakossági proxyvá alakították, így külső szereplők a felhasználók otthoni internetkapcsolatán keresztül küldhettek forgalmat.

Ez azt jelenti, hogy egy máshol lévő bűnöző tevékenysége a weboldalak és online szolgáltatások szemében úgy tűnhetett, mintha egy átlagos háztartásból érkezne. A vásárló talán azt sem sejtette, hogy a tévére kötött streaming boxot ilyen módon használják.

Más kártékony komponensek reklámcsalást követtek el, vagy további szoftvereket telepítettek. A Google szerint egyes eszközökön egyszerre több pénztermelő modul is futott, hogy a lehető legtöbb bevételt facsarják ki a már megvásárolt hardverből.

Magába az XCPE botnetbe több mint 1,3 millió set-top box tartozott. A Google válasza azonban nem korlátozódott erre az egy hálózatra.

A vállalat több mint egy tucat további kártevőcsaládhoz köthető infrastruktúrát is célba vett, és úgy becsüli, hogy ezzel legalább 10 millió másik, kompromittált eszközt vág el a vezérléstől. Ezek az eszközök a tágabb bűnözői ökoszisztémához tartoznak, és nem szabad összekeverni őket az eredeti XCPE-fertőzések számával.

Hogyan csúszhatott ez át a Google szűrőjén?

A vizsgálat talán legaggasztóbb része magát a Google saját biztonsági tesztelését érinti. Az Android-tanúsítást kérő gyártóknak kompatibilitási és biztonsági követelményeknek kell megfelelniük, a vádak szerint a Videostrong mégis talált módot ezek megkerülésére.

A Google szerint a cég olyan technikákat használt, amelyek a tesztelés idejére elrejtették a kártékony funkciókat, és csak az eszköz első indítása után töltötték be őket. Vagyis a biztonsági értékelés során nem feltétlenül ugyanazt a szoftverviselkedést látták, mint amit a vásárlók tapasztaltak, amikor a termékeket ténylegesen használták.

Ez kellemetlen kérdéseket vet fel arról, mennyire bízhatnak a felhasználók a hardvertanúsításban, ha maga a gyártó is rossz szándékkal járhat el. A biztonsági védelmek sokkal kevésbé megnyugtatóak, ha az eszközt készítő fél kifejezetten úgy tervezheti a szoftvert, hogy kikerülje ezeket.

A Google válaszul megszakította az együttműködést a Videostronggal, és megtiltotta, hogy a cég – illetve jövőbeli leányvállalatai és partnerei – tanúsított Android-eszközöket gyártsanak, vagy szoftvert szállítsanak más tanúsított gyártóknak. A vállalat azt is közölte, hogy módosította a firmware-ellenőrzési eljárásait, hogy kezelje a vizsgálat során feltárt gyengeséget.

A Google a japán Nemzeti Rendőrséggel és több kiberbiztonsági céggel együttműködve jogi lépéseket tett az ellen az infrastruktúra ellen, amelyen keresztül a fertőzött eszközöket vezérelték, és további kártevőket terjesztettek.

Távoli szerverek lekapcsolása azonban önmagában nem távolítja el az eredeti hátsó kaput minden érintett termékről. A Google azt is elismeri, hogy a szélesebb bűnözői piac alkalmazkodhat: új infrastruktúrára válthat, és más kártékony szoftverszállítókhoz fordulhat.

Kell aggódniuk az Android-felhasználóknak?

A mostani eredmények nem azt jelentik, hogy minden Androidos tévé vagy streaming eszköz veszélyes. A vizsgálat egy konkrét gyártóra és az ahhoz köthető termékekre vonatkozik, nem az Android hardverek egészére.

Ennek ellenére érdemes óvatosnak lenni, ha olcsó, Android-alapú streaming boxot veszel ismeretlen márkától. A Google azt javasolja, hogy megbízható gyártók termékeit válaszd, ellenőrizd, hogy a beépített biztonsági védelmek be vannak-e kapcsolva, és kerüld azokat az alkalmazásokat, amelyek pénzt ígérnek az internetkapcsolatod sávszélességének megosztásáért.

Van itt egy tágabb probléma is. Ha egy termék eleve kártékony firmware-rel érkezik, a vásárlónak alig van reális esélye felismerni a gondot, nemhogy kijavítani – hacsak a gyártó nem ad megbízható cserét.

Már az is elég rossz, amikor kiberbűnözők sebezhetőségeket találnak a már megvásárolt eszközeinkben. Az a lehetőség viszont, hogy maga a gyártó építette be szándékosan ezeket a sebezhetőségeket, hogy pénzt keressen a vásárlóin, jóval súlyosabb.

A Google elismerést érdemel azért, hogy feltárta a műveletet, és dolgozik az infrastruktúra felszámolásán, de azt is meg kell magyaráznia, a tanúsítási folyamata miért nem szűrte ki ezt a viselkedést korábban. A vásárlóknak nem kellene azon gondolkodniuk, hogy a tévéjükre kötött kis dobozt azért tervezték-e, hogy őket szolgálja, vagy inkább azt, aki fizet a bűnözőknek a hozzáférésért az otthoni hálózatukhoz.