Android TV ボックスにはマルウェアがすでにインストールされている可能性があります

安価な Android TV ストリーミング ボックスは、一般に高価な確立されたブランドのストリーミング デバイスの代替品として人気があります。これらの多くは中国で製造され、米国では異なるブランド名で販売されています。他のストリーミング デバイスと同様に、これらのボックスは人気のあるストリーミング アプリへのアクセスを提供しますが、多くの場合、サードパーティ ソフトウェアのインストールに対する制限が緩和されます。その柔軟性は、海賊版のテレビ番組、映画、生放送にアクセスしたい人にとって特に魅力的です。どのように使用する予定であるかに関係なく、これらのデバイスのいずれかを購入した場合、予想以上のものを手に入れたかもしれません。

Google Threat Intelligence Group は最近、130 万以上の侵害された Android TV ストリーミング ボックスを含む XCPE ボットネットを破壊しました。 Googleは、中国のメーカーVideostrong Technologyがデバイスに悪意のあるバックドアソフトウェアを意図的にインストールしたと発表した。このマルウェアにより、悪意のある攻撃者はこれらのデバイスを広告詐欺に使用したり、所有者の接続を介してインターネット トラフィックをルーティングしたり、所有者の知らないうちに追加の悪意のあるソフトウェアをインストールしたりすることができます。

マルウェアは顧客がデバイスを購入する前にインストールされた

Googleは中国のメーカーVideostrong Technologyを指摘

これらのデバイスを購入した人は、不審なアプリをダウンロードしたり、悪意のあるサイトにアクセスしたり、マルウェアに感染するために何かをする必要はまったくありませんでした。 Videostrong Technology は、いくつかの異なる名前で販売されているストリーミング ブランド用のハードウェアとソフトウェアを製造しています。 Google の脅威インテリジェンス グループは、不正な開発者、エンジニア、その他の単独の悪者ではなく、Videostrong Technology がバックドアを意図的に開発、展開、運用したことに「高い確信を持っている」と述べています。

さらに懸念されるのは、これらのデバイスの一部が Google 認定を受けていることです。 Googleによると、VideostrongはGoogleのセキュリティテスト中に悪意のあるコードを隠蔽できる手法を使用したという。彼らによると、このマルウェアはデバイスの最初の起動後に読み込まれるように設計されており、バックドアが検出されることなくボックスが Google の認証を通過できるようになっているという。 Googleは、このような問題に対処するために審査プロセスを改善すると述べた。

これは一夜にして起こったことではありません

Googleはまた、Videostrongが少なくとも2021年末からこのマルウェアを開発、進化させていたとも述べた。調査終了後、GoogleはVideostrongとその関連会社に対し、Google認定のAndroidデバイスの製造や他の認定メーカーへのソフトウェアの供給を禁止した。感染したデバイスの一部がすでに Google の認定プロセスを通過していたことを考えると、これはかなり大きなペナルティです。

感染した Android TV ボックスを使ってハッカーができること

犯罪者はお金を稼ぐためにデバイスを使用していました

クレジット: Google

追い打ちをかけるようにGoogleは、Videostrongは単にデバイスに感染しただけではないと述べた。また、これらの侵害されたデバイスへのアクセスを他のサイバー犯罪グループに販売していました。これらのグループは、広告収益を集めるオンライン広告との偽のビューやインタラクションを生成するなど、広告詐欺を行うためにデバイスを使用しました。これらの感染したボックスはプロキシにもなり、犯罪者が所有者の自宅接続を介してインターネット トラフィックをルーティングできるようになります。これにより、犯罪行為は犯罪者自身ではなく一般家庭から発生したように見えました。一方、ボックスの所有者は、インターネット接続がこのように使用されているとは思いもしなかったでしょう。

Google によると、犯罪者は所有者の知識や許可なしにリモートからソフトウェアをインストールする可能性があり、バックドアによって Android に組み込まれているセキュリティ システムである Google Play プロテクトが無効になる可能性があるため、通常のセキュリティ警告を表示せずに悪意のあるアプリをインストールすることが容易になります。

ハッカーはスクリーンショットをキャプチャし、キーストロークをシミュレートし、アカウントの詳細、インストールされているアプリ、システム ログなどの情報を収集する可能性があります。また、リモートでコマンドを実行したり、ホーム ネットワークをスキャンして他の接続されたデバイスを探したりすることもできます。すべての感染したボックスがこれらすべての活動に使用されたというわけではありませんが、これらのサイバー犯罪者が実際にアクセスしていた範囲を知ることができます。

出荷時設定にリセットしてもマルウェアが削除されない理由

工場出荷時設定にリセットしても耐えられるように設計されています

この話を初めて聞いたとき、私は次のように思いました。マルウェアを取り除くために出荷時設定にリセットしてみたらどうだろうか?残念ながら、それはそれほど単純ではありません。通常、このような状況では、工場出荷時設定にリセットすると、インストールされているアプリケーション、個人データ、設定が削除され、デバイスが元の工場出荷時の構成に復元されます。ただし、XCPE バックドアは、通常の Android アプリケーションとして単にインストールされるのではなく、デバイスのファームウェアに組み込まれていました。 Google によると、バックドアは再起動後に悪意のあるコンポーネントを再インストールする可能性があるため、ボックスをリセットするだけでは問題が解決するとは限りません。

バックドアは製造時にファームウェアに組み込まれたため、工場出荷時の設定に復元すると、悪意のあるコードが完全にそのまま残る可能性があります。マルウェアを完全に削除するということは、侵害されたファームウェアを検証済みのクリーンなバージョンに完全に置き換えることを意味します。これは、信頼できる情報源から入手できるものがあることを前提としています。 Google は Videostrong をその認定プログラムから禁止しているため、検証済みのクリーンなファームウェアのアップデートが Google や公式ソースから提供される可能性は低いです。

Synthient の研究者は、MECOOL KM9PRO Max を購入し、そのソフトウェアとファームウェアを調査することで、このマルウェアを詳しく調査しました。彼らの調査によると、バックドアにはシステム レベルのアクセスがあり、悪意のあるコンポーネントが削除された後でも再インストールされる可能性があることが判明しました。このため、Synthient では、感染が確認されたデバイスからマルウェアを駆除するのではなく、それらを取り除くことをお勧めします。マルウェアを削除したと思っていても、これらのデバイスがまだ侵害されていないという保証はありません。

感染している可能性のあるモデルのリストと照らし合わせてデバイスを確認してください

最初に行うことは、Android TV ボックスのモデル番号を見つけることです。これは通常、[設定]>[システム]>[バージョン情報]にありますが、デバイスの底面のラベルに記載されている場合もあります。 Synthient は 182 のデバイス モデルのリストを公開しています。お使いのモデルをこのリストと比較してください。一致するものが見つかっても、必ずしも特定のデバイスが感染していることを意味するわけではないことに注意してください。

お使いのモデルがリストに表示されている場合は、調査中はホーム ネットワークからそのモデルを切断してください。製造元に問い合わせて、特定のデバイスとファームウェアのバージョンが影響を受けるかどうか、また検証済みのクリーンなファームウェアのアップデートが利用可能かどうかを確認してみるとよいでしょう。現時点では、その可能性は低いように思えます。マルウェアはファームウェアに組み込まれているため、ファームウェアを置き換えるのが最善です。