安卓電視平臺(tái)的開源YouTube客戶端SmartTube已確認(rèn)遭入侵——攻擊者獲取開發(fā)者的數(shù)字簽名密鑰后，向用戶推送了包含惡意代碼的更新包。

此次安全事件由多名用戶反饋發(fā)現(xiàn)：安卓內(nèi)置殺毒模塊Google Play Protect在部分設(shè)備上攔截了SmartTube，并向用戶發(fā)出安全風(fēng)險(xiǎn)警示。

SmartTube開發(fā)者證實(shí)，其數(shù)字簽名密鑰于上周末被盜，導(dǎo)致惡意軟件被注入應(yīng)用程序。目前已吊銷舊簽名，并表示將盡快發(fā)布采用獨(dú)立應(yīng)用ID的新版本，同時(shí)敦促用戶升級(jí)至該安全版本。

作為安卓電視、Fire TV、安卓電視盒等設(shè)備上下載量最高的第三方Y(jié)ouTube客戶端之一，SmartTube的流行源于其免費(fèi)屬性、廣告攔截功能，以及在低性能設(shè)備上的流暢運(yùn)行表現(xiàn)。

一名逆向工程師對(duì)遭入侵的30.51版本進(jìn)行分析后發(fā)現(xiàn)，該版本包含一個(gè)名為libalphasdk.so的隱藏原生庫（[病毒總數(shù)平臺(tái)檢測鏈接]）。由于該庫未出現(xiàn)在公開源代碼中，推測是在發(fā)布構(gòu)建過程中被惡意注入。

開發(fā)者表示：“這很可能是一款惡意軟件。該文件并非所使用SDK的組成部分，其出現(xiàn)在APK安裝包中完全出乎意料且存在高度可疑性。在核實(shí)其來源前，建議用戶保持警惕?！?/p>

經(jīng)分析，該惡意庫會(huì)在后臺(tái)靜默運(yùn)行，無需用戶交互即可完成設(shè)備指紋采集、向遠(yuǎn)程服務(wù)器注冊(cè)設(shè)備，并通過加密通信通道定期發(fā)送設(shè)備指標(biāo)數(shù)據(jù)及獲取配置指令。盡管目前尚未發(fā)現(xiàn)賬號(hào)盜竊、參與DDoS僵尸網(wǎng)絡(luò)等惡意行為，但攻擊者可隨時(shí)利用該模塊發(fā)起此類攻擊，潛在風(fēng)險(xiǎn)極高。

盡管開發(fā)者已在Telegram宣布發(fā)布安全測試版及穩(wěn)定測試版，但這些版本尚未同步至項(xiàng)目官方GitHub倉庫。此外，開發(fā)者未披露事件完整細(xì)節(jié)，引發(fā)用戶信任危機(jī)。SmartTube表示，待新版應(yīng)用正式上架F-Droid應(yīng)用商店后，將全面回應(yīng)所有關(guān)問題。

在開發(fā)者通過詳細(xì)事后分析報(bào)告公開披露全部事件細(xì)節(jié)前，安全專家建議用戶：保持使用經(jīng)驗(yàn)證安全的舊版本、避免登錄高級(jí)賬戶、關(guān)閉自動(dòng)更新功能；受影響用戶應(yīng)重置Google賬戶密碼，檢查賬戶控制臺(tái)是否存在未授權(quán)訪問記錄，并移除陌生關(guān)聯(lián)服務(wù)。

為確保完全安全，SmartTube已從30.55版本起已切換至新簽名密鑰。30.47 Stable v7a版本出現(xiàn)不同哈希值，可能是在清理受感染系統(tǒng)后嘗試恢復(fù)該版本所致。

參考及來源：https://www.bleepingcomputer.com/news/security/smarttube-youtube-app-for-android-tv-breached-to-push-malicious-update/