Τηλεοπτικά κουτιά Android δάνειζαν κρυφά τις οικιακές συνδέσεις

Η Google, μαζί με εταιρείες κυβερνοασφάλειας και την ιαπωνική αστυνομία, έριξε στα τέλη Οκτωβρίου τους διακομιστές που έλεγχαν πάνω από 1,3 εκατομμύρια τηλεοπτικούς αποκωδικοποιητές Android σε πάνω από 200 χώρες. Οι συσκευές είχαν βγει από το εργοστάσιο με κρυφή πόρτα (κοινή ανακοίνωση). Η Google αποδίδει με υψηλή βεβαιότητα την επιχείρηση στη Videostrong, κατασκευάστρια με την οποία συνεργαζόταν, και την απέκλεισε από την παραγωγή πιστοποιημένων συσκευών Android (Google). Όποιος έχει τέτοιο κουτί μπορεί να έδινε τη σύνδεση του σπιτιού του για ξένη κίνηση. Η επέμβαση σταμάτησε τις εντολές, όχι τον κώδικα.

Η λέξη «Android» εδώ δεν σημαίνει κινητά. Η εταιρεία κυβερνοασφάλειας TrendAI, μία από τους εταίρους της επιχείρησης, παρακολούθησε το δίκτυο από τις 3 Ιουνίου ως την 1η Οκτωβρίου. Μέτρησε σχεδόν 1,5 εκατομμύριο μολυσμένες συσκευές σε 206 μοντέλα, νούμερο που η ίδια θεωρεί κατώτατο όριο επειδή η καταγραφή της είχε κενά (TrendAI). Είναι κυρίως κουτιά και «στικ» που κάνουν μια συνηθισμένη τηλεόραση έξυπνη, με λίγες ακόμη συσκευές για τηλεϊατρική, καραόκε και ψηφιακές πινακίδες. Κανένα από τα δημοσιευμένα στοιχεία δεν αφορά smartphone.

Ένα δεύτερο τηλεχειριστήριο

Φανταστείτε ένα δεύτερο τηλεχειριστήριο κρυμμένο μέσα στο κουτί. Δεν παίρνει εντολές από εσάς, αλλά από ένα τηλεφωνικό κέντρο κάπου μακριά. Αυτό ήταν, στην ουσία, η κρυφή πόρτα που οι ερευνητές ονομάζουν XCPE. Το ότι η διακοπή του κέντρου δεν καθαρίζει τις συσκευές εξηγείται από το σημείο όπου κρυβόταν.

Μια συσκευή Android έχει δύο στρώματα λογισμικού. Το πρώτο είναι οι εφαρμογές που εγκαθιστά ο χρήστης. Το δεύτερο είναι το firmware, το βασικό λογισμικό που φορτώνει ο κατασκευαστής πριν το προϊόν φύγει από τη γραμμή παραγωγής. Αυτό τρέχει με προνόμια που καμία κοινή εφαρμογή δεν έχει. Το XCPE καθόταν στο δεύτερο στρώμα, με δικαιώματα συστήματος. Αν κάποιος το έσβηνε σαν απλή εφαρμογή, ένα αντίγραφο σε κρυφό φάκελο το επανέφερε στην επόμενη επανεκκίνηση (Google).

Η Synthient, εταιρεία έρευνας απειλών που συμμετείχε επίσης στην επιχείρηση, αγόρασε ένα MECOOL KM9PRO Max στα τέλη του 2025 και είδε το τηλεχειριστήριο να δουλεύει. Μόλις άναβε, το κουτί έστελνε τα στοιχεία του σε διακομιστή και έπαιρνε κωδικούς για να συνδεθεί στο κέντρο εντολών. Μετά περίμενε οδηγίες για να εγκαταστήσει ή να σβήσει εφαρμογές (Synthient).

Από αυτό το κανάλι περνούσαν τα πρόσθετα προγράμματα των πελατών στους οποίους, κατά την Google, η Videostrong πουλούσε πρόσβαση. Ένα από αυτά έκανε το κουτί σταθμό διέλευσης. Η κίνηση ενός αγνώστου έβγαινε στο ίντερνετ από τη δική σας σύνδεση, οπότε για τον έξω κόσμο έμοιαζε να ξεκινά από το σπίτι σας. Ένα άλλο φόρτωνε αθέατες διαφημίσεις για να παράγει ψεύτικες προβολές. Η Google κατέγραψε επίσης χειριστές να τραβούν στιγμιότυπα οθόνης, να συλλέγουν στοιχεία λογαριασμών και να εκτελούν εντολές. Αυτό δεν σημαίνει ότι έγινε σε κάθε συσκευή (Google).

Τα ίχνη και τα κενά

Τη σύνδεση με την κατασκευάστρια τη στηρίζουν ίχνη που άφησε η ίδια η υποδομή. Η Synthient εντόπισε τρία τέτοια ίχνη. Ο κώδικας ήταν υπογεγραμμένος από διευθύνσεις email της Videostrong. Σε ανοιχτό διακομιστή με αρχεία της κερκόπορτας βρισκόταν έγγραφο του διευθυντή έρευνας και ανάπτυξης της εταιρείας. Και ο ιστότοπος της εταιρείας μοιραζόταν διεύθυνση IP με τον πίνακα ελέγχου (Synthient). Πρόκειται για τεχνικές αναλύσεις εταιρειών που δούλεψαν σε συντονισμό, όχι για δικαστικό πόρισμα, και δεν ονομάζουν τα πρόσωπα πίσω από τον πίνακα. Η Videostrong και η MECOOL δεν έχουν απαντήσει δημόσια, απ' όσο εντοπίσαμε.

Ανοιχτό μένει και ένα λογιστικό κενό. Η TrendAI μετρά πάνω από 170 χώρες, ενώ η κοινή ανακοίνωση μιλά για πάνω από 200, και η διαφορά δεν έχει εξηγηθεί δημόσια (TrendAI, κοινή ανακοίνωση).

Το πιο άβολο εύρημα αφορά την ίδια την πιστοποίηση της Google. Κατά την εταιρεία, ο κώδικας ενεργοποιούνταν μετά την πρώτη εκκίνηση και εκμεταλλευόταν έτσι ένα κενό στα τεστ. Η απάντησή της είναι αυστηρότεροι έλεγχοι firmware στο μέλλον, χωρίς χρονοδιάγραμμα για όσα κουτιά έχουν ήδη πουληθεί (Google). Η Plume, άλλη μία από τις εταιρείες της επιχείρησης, βρήκε μολυσμένες τόσο πιστοποιημένες συσκευές όσο και συσκευές χωρίς πιστοποίηση. Άρα το σήμα της Google στη συσκευασία δεν αρκεί ως εγγύηση (The Hacker News).

Ο κάτοχος μπορεί να αναζητήσει το μοντέλο του στη λίστα 182 ονομάτων που δημοσίευσε η Synthient. Η ίδια σημειώνει όμως ότι το όνομα από μόνο του δεν αποδεικνύει μόλυνση (λίστα της Synthient). Δεν υπάρχει εργαλείο για να ελέγξει κανείς τη δική του συσκευή, και η απεγκατάσταση δεν αρκεί. Ούτε η εργοστασιακή επαναφορά έχει αποδειχθεί ότι σβήνει τον βασικό κώδικα. Για συσκευή που έχει ταυτοποιηθεί ως επηρεασμένη, οι λύσεις που αναφέρονται είναι καθαρό firmware ή αντικατάσταση. Ως τότε, η αποσύνδεση από το ίντερνετ τουλάχιστον κόβει την επικοινωνία με τους διακομιστές (BleepingComputer).

Η Google έκλεισε το τηλεφωνικό κέντρο. Το δεύτερο τηλεχειριστήριο όμως μένει μέσα σε κάθε μολυσμένο κουτί που έχει ήδη πουληθεί. Για όσα έχουν ταυτοποιηθεί, το μόνο σίγουρο κουμπί απενεργοποίησης είναι η πρίζα.