Ένας εμπειρογνώμονας ασφαλείας από τον Καναδά διαπίστωσε ότι ένα συγκεκριμένο Android TV box που διατίθεται στο Amazon είχε προεγκατεστημένο malware.
Το malware ήταν αρκετά προηγμένο και σχεδιασμένο να παραμένει στη συσκευή για πάντα.
Ο Daniel Milisic, δημιούργησε μια λίστα με οδηγίες για να βοηθήσει τους χρήστες να αφαιρέσουν το συγκεκριμένο malware και να το εμποδίσουν να έχει επικοινωνία με έναν απομακρυσμένο server.
Το Android TV box που βρέθηκε να περιέχει το malware είναι το T95 μοντέλο με επεξεργαστή AllWinner T616. Θα το βρείτε συνήθως στο Amazon και το AliExpress. Δεν είναι βέβαιο αν η συγκεκριμένη συσκευή είναι η μόνη που έχει επηρεαστεί ή αν όλες οι συσκευές αυτού του μοντέλου ή της μάρκας έχουν «μολυνθεί».
Δείτε επίσης: H Cisco προειδοποιεί για κρίσιμη ευπάθεια σε EoL routers
Το streaming TV box T95 τρέχει σε Android 10 και διαθέτει ROM που έχει υπογραφεί με test keys. Επιπλέον, η ADB (Android Debug Bridge) είναι ανοιχτή τόσο μέσω συνδέσεων Ethernet όσο και μέσω WiFi.
Αυτό θεωρείται ύποπτη ρύθμιση, καθώς το ADB επιτρέπει την απεριόριστη πρόσβαση στο σύστημα αρχείων της συσκευής, την εκτέλεση εντολών, την εγκατάσταση λογισμικού, την τροποποίηση δεδομένων και τον απομακρυσμένο έλεγχο.
Ωστόσο, καθώς οι περισσότερες καταναλωτικές streaming συσκευές βρίσκονται πίσω από ένα firewall, οι απειλητικοί φορείς πιθανότατα δεν θα είναι σε θέση να συνδεθούν στο ADB εξ αποστάσεως.
Ο Daniel Milisic, αγόρασε αρχικά τη συσκευή για να τη χρησιμοποιήσει με το Pi-hole DNS sinkhole, το οποίο είναι ένα εργαλείο που προστατεύει τις συσκευές από ανεπιθύμητο περιεχόμενο, διαφημίσεις και κακόβουλες ιστοσελίδες χωρίς να απαιτείται εγκατάσταση κάποιου λογισμικού.
Κατά την ανάλυση των DNS αιτημάτων στο Pi-hole, ο Milisic διαπίστωσε ότι η συσκευή προσπαθούσε να συνδεθεί με διάφορες διευθύνσεις IP που συνδέονται με ενεργό malware. Πιστεύει ότι το κακόβουλο λογισμικό στη συσκευή είναι παρόμοιο με το “CopyCat“, το οποίο είναι ένα εξελιγμένο Android malware που ανακαλύφθηκε για πρώτη φορά από την τεχνολογική εταιρεία Check Point το 2017 – είχε εμφανιστεί στο παρελθόν σε μια adware καμπάνια όπου μόλυνε 14 εκατομμύρια συσκευές Android και απέφερε κέρδη άνω των 1.500.000 δολαρίων στους χειριστές του.
Ο Milisic πραγματοποίησε μια δοκιμή σε ενα malware δείγμα μέσω του VirusTotal και βρήκε 13 ανιχνεύσεις από 61 scans από AV μηχανές.
Το malware ταξινομήθηκε ως Android trojan downloader.
Σε μια δημοσίευση στο GitHub, ο αναλυτής εξήγησε ότι χρησιμοποίησε εργαλεία όπως το “tcpflow” και το “nethogs” για να παρακολουθήσει την κυκλοφορία και εντόπισε το κακόβουλο λογισμικό στη συγκεκριμένη διαδικασία/APK, την οποία στη συνέχεια αφαίρεσε από τη ROM.
Βρήκε αρκετές στρώσεις malware, αλλά το τελευταίο κομμάτι που δεν μπόρεσε να εντοπίσει, εισάγει τη ‘system_server’ διαδικασία και φαίνεται να είναι βαθιά ενσωματωμένο στη ROM.
Παρατήρησε επίσης ότι το κακόβουλο λογισμικό προσπαθούσε να κατεβάσει πρόσθετα payloads από sites όπως: ‘ycxrl.com‘, ‘cbphe.com‘ και ‘cbpheback.com‘.
Δεδομένου ότι η εύρεση μιας καθαρής ROM για την αντικατάσταση της μολυσμένης ήταν δύσκολη, ο Milisic αποφάσισε να αλλάξει το DNS του C2 server ώστε να δρομολογεί τα αιτήματα μέσω του Pi-hole browser, γεγονός που του επέτρεψε να μπλοκάρει τα αιτήματα.
Δείτε επίσης: Ακόμη και η κυβέρνηση των ΗΠΑ χρησιμοποιεί αδύναμα password
Εάν είστε κάτοχος του συγκεκριμένου Android TV box, σας συνιστούμε να ακολουθήσετε αυτά τα 2 βήματα που αναφέρει ο Milisic
Να κάνετε μια επανεκκίνηση σε λειτουργία ανάκτησης ή “Επαναφορά εργοστασιακών ρυθμίσεων” από το μενού ρυθμίσεων.
Μετά την επανεκκίνηση, συνδεθείτε στο ADB μέσω USB ή WiFi/Ethernet και εκτελέστε το σενάριο που παρέχεται από τον αναλυτή. Για να επιβεβαιώθείτε ότι το malware έχει εξουδετερωθεί, μπορείτε να εκτελέσετε την εντολή “adb logcat | grep Corejava” και να σιγουρευτείτε ότι η εντολή chmod δεν εκτελέστηκε.
Συνέστησε επίσης τους κατόχους, να διακόψουν τη χρήση αυτών των Tv box, καθώς είναι σχετικά φθηνά στο Amazon, και να αγοράσουν ενα καινούργιο, αν έχουν την οικονομική δυνατότητα.
Δυστυχώς, αυτές οι χαμηλού κόστους Android TV box συχνά ακολουθούν μια ασαφή πορεία από την κατασκευή τους στην Κίνα έως τη διάθεσή τους παγκοσμίως.
Σε πολλές περιπτώσεις, οι συσκευές αυτές πωλούνται με διάφορα εμπορικά brands και ονομασίες, γεγονός που καθιστά δύσκολο τον προσδιορισμό της προέλευσής τους. Επιπλέον, καθώς αυτές οι συσκευές περνούν από πολλά χέρια, οι πωλητές και οι μεταπωλητές έχουν πολλές ευκαιρίες να εγκαταστήσουν προσαρμοσμένες ROM, συμπεριλαμβανομένων «ίσως» και μερικών κακόβουλων.
Ακόμη και αν τα περισσότερα εμπορικά site διαθέτουν πολιτικές αποτροπής για πωλήσεις συσκευών που είναι προεγκατεστημές με malware, είναι πρακτικά αδύνατο να ελεγχθούν όλα τα προϊόντα.
Για να αποφύγετε τέτοιους κινδύνους, σας προτείνουμε να επιλέγετε streaming ΤV boxes από αξιόπιστους προμηθευτές.
Πηγή πληροφοριών: bleepingcomputer.com
