Masz taki gadżet w domu? Lepiej się go pozbyć

Niewinne z pozoru cyfrowe ramki na zdjęcia mogą stać się furtką do infekcji złośliwym oprogramowaniem – ostrzegają badacze z firmy Quokka. Po szczegółowej analizie popularnej platformy Uhale, wykorzystywanej w wielu markach ramek z Androidem, odkryli oni szereg poważnych luk w zabezpieczeniach. Co gorsza, część urządzeń ma pobierać i uruchamiać malware automatycznie przy każdym starcie systemu.

Za Uhale stoi chińska firma ZEASN (od niedawna działająca jako Whale TV). To jej oprogramowanie – w teorii służące do obsługi zdjęć i synchronizacji w chmurze – okazuje się mieć drugie, mroczne dno. Quokka informuje, że kontaktowała się z producentem wielokrotnie od maja tego roku, ale firma nie uzyskała żadnej odpowiedzi.

Malware w ramce na zdjęcia

Najbardziej alarmujące odkrycie dotyczy zachowania ramek zaraz po uruchomieniu. Jak opisują badacze, wiele modeli automatycznie łączy się z serwerami w Chinach i pobiera aktualizację aplikacji Uhale do wersji 4.2.0. Po instalacji oprogramowanie wymusza restart. To jednak dopiero początek.

Po ponownym uruchomieniu Uhale pobiera kolejne pliki – tym razem już ewidentnie złośliwe. Są to moduły JAR/DEX zapisywane w katalogu aplikacji i uruchamiane przy każdym kolejnym starcie urządzenia.

Quokka podkreśla, że analizowane urządzenia miały domyślnie wyłączony kluczowy moduł bezpieczeństwa SELinux, były zrootowane od nowości, a komponenty systemowe podpisano testowymi kluczami AOSP. W praktyce oznacza to otwarte drzwi dla dowolnej modyfikacji systemu.

Dwie rodziny malware

W kodzie pobieranych modułów badacze znaleźli wiele wskazówek świadczących o powiązaniach z Vo1d Botnet oraz rodziną malware Mezmess. Charakterystyczne prefiksy pakietów, sposób komunikacji z serwerami, nazwy klas, lokalizacje artefaktów – wszystko to odpowiada znanym wzorcom działania tych zagrożeń.

Choć eksperci nie byli w stanie jednoznacznie określić, w jaki sposób ramki zostały zainfekowane. Podejrzewają, że problem może dotyczyć łańcucha dostaw lub aktualizacji udostępnianych bezpośrednio przez ZEASN.

Producent milczy

Najbardziej niepokojące w całej sprawie jest nie samo odkrycie malware, lecz fakt, że producent platformy Uhale od miesięcy ignoruje zgłoszenia. Brak reakcji oznacza, że urządzenia nadal trafiają do sprzedaży, a użytkownicy nie mają świadomości, że ich ramka LED może stać się narzędziem w rękach cyberprzestępców – na przykład jako część botnetu.