Хакирана SmartTube апликацијата за YouTube на Android TV за да турка малициозна надградба

Популарниот open-source YouTube клиент SmartTube за Android TV беше компромитиран откако напаѓач доби пристап до потписните клучеви на развивачот, што доведе до испраќање малициозна надградба до корисниците.

Компромитацијата стана позната кога повеќе корисници пријавија дека Play Protect, вградениот антивирус на Android, го блокирал SmartTube на нивните уреди и ги предупредил за ризик.

Развивачот на SmartTube, Јуриј Јулисков, призна дека неговите дигитални клучеви биле компромитирани кон крајот на минатата недела, што овозможило инјектирање малициозен код во апликацијата.
Јулисков ги поништи старите потписи и најави дека наскоро ќе објави нова верзија со посебен ID на апликацијата, повикувајќи ги корисниците да преминат на неа.

SmartTube е еден од најсимнуваните YouTube клиенти од трети страни за Android TV, Fire TV stick уреди, Android TV box-ови и слични уреди.

Неговата популарност произлегува од тоа што е бесплатен, може да блокира реклами и работи добро дури и на послаби уреди.

Корисник кој направил reverse engineering на компромитираната верзија SmartTube 30.51 открил дека содржи скриена нативна библиотека именувана libalphasdk.so [VirusTotal]. Оваа библиотека не постои во јавниот изворен код, што значи дека се вметнува само во release верзиите.

„Можно е да е малициозен софтвер. Оваа датотека не е дел од мојот проект или од кој било SDK што го користам. Нејзиното присуство во APK е неочекувано и сомнително. Препорачувам претпазливост додека не се утврди нејзиното потекло,“ предупреди Јулисков во GitHub дискусија.

Библиотеката се извршува тивко во позадина без интеракција со корисникот, го отпечатува (fingerprint) уредот, го регистрира на далечински backend, и периодично испраќа податоци и зема конфигурации преку енкриптиран комуникациски канал.

Сето ова се случува без никакви видливи показатели за корисникот. Иако нема докази за злонамерни активности како кражба на сметки или учество во DDoS ботнети, ризикот такви активности да се овозможат во секој момент е значителен.

Иако развивачот преку Telegram најави дека пуштил безбедни бета и стабилни тест верзии, тие сè уште не се појавени во официјалниот GitHub репозиториум.

Исто така, развивачот сè уште нема дадено целосни детали што точно се случило, што создаде проблем со довербата во заедницата.

Јулисков вети дека ќе ги адресира сите грижи штом финалната верзија на новата апликација биде објавена во продавницата F-Droid.

Сè додека развивачот транспарентно не ги објави сите информации во детална пост-мортем анализа, корисниците се советуваат да останат на постари, познато-безбедни верзии, да избегнуваат најавување со премиум сметки и да ги исклучат автоматските надградби.

На засегнатите корисници им се препорачува и да ги ресетираат лозинките на нивните Google сметки, да го проверуваат конзолотo за неовластен пристап и да ги отстранат услугите што не ги препознаваат.

Во моментов, не е јасно точно кога се случила компромитацијата или кои верзии на SmartTube се безбедни за користење. Еден корисник пријавил дека Play Protect не ја означува верзијата 30.19, па изгледа дека е безбедна.

BleepingComputer го контактираше Јулисков за да утврди кои верзии на SmartTube се компромитирани, а тој одговори со следново:

„Некои од постарите верзии што се појавија на GitHub ненамерно беа компромитирани поради малициозен софтвер што бил присутен на мојата развојна машина во времето кога беа создадени. Штом го забележав проблемот кон крајот на ноември, веднаш го избришав системот и ја исчистив околината, вклучително и GitHub репозиториумот.“

„Станава свесен за проблемот со малициозниот софтвер околу верзија 30.47, но според пријавите од корисници, започнува околу верзија 30.43. Така, според мене, компромитираните верзии се: 30.43–30.47.“

„По чистењето на околината, објавив неколку верзии користејќи го претходниот клуч (подготвени на чист систем), но од верзија 30.55 па натаму преминав на нов клуч за целосна безбедност. Различните hash вредности за верзијата 30.47 Stable v7a најверојатно се резултат на обиди за обновување на таа верзија по чистењето на заразениот систем.“

Извори:

• Bleeping Computer – SmartTube YouTube app for Android TV breached to push malicious update Bleeping Computer