Google разорвала отношения с производителем Videostrong после обнаружения предустановленного бэкдора в Android TV-приставках. Компания заблокировала домены и серверы управления ботнетом XCPE; по её оценке, это оборвёт связь злоумышленников как минимум с 10 млн скомпрометированных устройств. Для рынка это неприятное напоминание: маркировка «сертифицировано» не отменяет риск атаки через цепочку поставок.
Как сообщает 9to5Google, Videostrong выпускала сертифицированные Android TV-устройства, но одновременно встраивала в них механизм удалённого доступа. Доступ к нему, как утверждает Google, можно было продавать для распространения вредоносного ПО. Речь идёт не о единичной ошибке прошивки: вредоносный код находили в моделях разных брендов на протяжении нескольких лет, а управляющая инфраструктура и конфигурации постоянно менялись, чтобы обходить проверку.
Google подала юридические меры против доменов и серверов, использовавшихся для управления XCPE и его модулей, а также запретила Videostrong и её дочерним структурам продавать сертифицированные Android-устройства. Производителю также нельзя поставлять ПО другим вендорам, выпускающим сертифицированные устройства с сервисами Google. Фактически компания лишилась доступа к одному из ключевых коммерческих преимуществ на рынке недорогих ТВ-приставок — права предустанавливать приложения Google.
Особенно болезненно здесь выглядит слово «сертифицированные». Покупатель такой приставки обычно предполагает, что устройство прошло техническую проверку, корректно работает с Google Play и получает базовый уровень защиты экосистемы. В данном случае производитель, по данным Google, использовал пробел в процедуре тестирования: вредоносный код загружался уже после первого запуска устройства. На этапе первичной сертификации он мог не проявляться в виде, который позволил бы его уверенно обнаружить.
Google прямо признаёт, что этот сценарий потребовал пересмотра контроля. Компания намерена обновить процесс проверки Android TV и Google TV, чтобы закрыть подобный путь доставки кода. Деталей о новых тестах пока нет, и это логично: слишком подробное описание быстро превратилось бы в инструкцию для следующего недобросовестного поставщика. Но направление очевидно — проверки должны охватывать не только заводской образ, но и действия устройства после активации, обновления конфигураций и обращения к внешней инфраструктуре.
В собранном исследователями Synthient перечне потенциально затронутых устройств заметное место занимает бренд Mecool, хорошо знакомый пользователям Android TV и Google TV. Само присутствие модели в таком списке ещё не заменяет официальное подтверждение для каждого конкретного экземпляра: приставки могут отличаться прошивкой, регионом поставки и партией. Владельцам устройств из группы риска имеет смысл проверить, доступны ли официальные обновления, отказаться от установки приложений из непроверенных источников и оценить, не пора ли заменить приставку на модель с понятной поддержкой производителя.
После отключения управляющих доменов заражённые устройства, по версии Google, должны стать безопаснее в повседневном использовании: бэкдор лишается канала для получения команд и новых модулей. Это не равнозначно полной гарантии, что на каждой приставке не осталось нежелательного кода. Блокировка C2-инфраструктуры останавливает управление, но не превращает уже скомпрометированную прошивку в проверенную. Для компаний, которые используют ТВ-панели в переговорных, гостиницах, магазинах или цифровых вывесках, это повод включить такие устройства в инвентаризацию активов, а не считать их бытовой техникой вне контура ИБ.
История Videostrong важна и разработчикам, и закупщикам. Android TV-приставка часто стоит недорого именно потому, что за ней нет долгой поддержки, прозрачной цепочки обновлений и команды, отвечающей за безопасность после продажи. Наличие сертификации остаётся полезным фильтром, но теперь её разумнее воспринимать как один из сигналов, а не как исчерпывающий аудит производителя. Бэкдор в Android TV показал, насколько уязвима экосистема, когда доверие к устройству формируется задолго до того, как пользователь подключит его к домашней или корпоративной сети.
Главный вопрос теперь не в том, сможет ли Google закрыть именно этот канал — его инфраструктура уже заблокирована, — а в том, насколько быстро новые проверки поймают следующую схему, рассчитанную на запуск после продажи устройства. Чем дешевле и менее прозрачен производитель, тем важнее становятся обновления, репутация поставщика и возможность быстро вывести устройство из эксплуатации. В мире подключённых экранов приставка за несколько тысяч рублей вполне может оказаться не аксессуаром к телевизору, а лишней точкой входа в сеть.
