נוזקה שהותקנה כבר במפעל: סטרימרים של MECOOL, שנמכרים גם בישראל, הפכו לחלק מרשת בוטנט
לפי תחקיר בינלאומי, יצרנית החומרה הסינית Videostrong הטמיעה נוזקה בשם x.cpe במערכת ההפעלה של מכשירי סטרימינג, בהם מכשירים של המותג MECOOL שנמכר גם בישראל. גוגל ביטלה את רישיון השימוש של היצרנית באנדרואיד ובגוגל TV. מי שיש לו מכשיר כזה בבית צריך לנתק אותו לפחות מהאינטרנט.
תחקיר בינלאומי חשף שמאות אלפי מכשירי סטרימינג לטלוויזיה יצאו מהמפעל כשנוזקה כבר מותקנת בהם. בין המכשירים יש גם מוצרים של המותג MECOOL, שנמכר גם בישראל. לפי הדיווח ב-ynet, יצרנית החומרה הסינית Videostrong הטמיעה את הנוזקה, שנקראת x.cpe, ישירות בתוכנת ההפעלה של המכשירים. גוגל הגיבה בצעד חריג: היא ביטלה את רישיון השימוש של היצרנית באנדרואיד ובגוגל TV.
מה בדיוק נמצא
בתחקיר השתתפו חברות אבטחת מידע, חברות טכנולוגיה גדולות ורשויות אכיפה. לפי הממצאים, המכשירים הנגועים הפכו בלי ידיעת המשתמשים לחלק מבוטנט, כלומר רשת של מכשירים שנפרצו ושהתוקפים יכולים להפעיל מרחוק. הפרשה קשורה לרשת הנוזקות BadBox, ולפי הדיווח כוללת יותר מ-1.3 מיליון מכשירים. הרשת שימשה להונאות פרסום ולרשתות פרוקסי מסחריות, ועקפה את חנויות האפליקציות הרשמיות.
ניתוח הקוד העלה שהדלת האחורית הוסתרה תחת "שירות" שנראה תמים. היא תקשרה ברקע עם שרתי שליטה (C2, שרתים שמהם התוקפים שולחים פקודות) באמצעות פרוטוקול MQTT. בפועל, ברגע שהמכשיר מחובר לחשמל ולרשת, הוא מוריד אוטומטית רכיבים שמעבירים דרכו תעבורת אינטרנט של גורמים זרים.
גוגל לא הסתפקה בביטול הרישיון. לפי הדיווח, היא ניתקה את הקשר עם היצרנית לצמיתות, והחרם יחול גם על חברות הבת שלה: הן לא יוכלו לספק בעתיד חומרה או תוכנה למערכות המוסמכות של גוגל.
למה זה נוגע לכם
המשמעות המעשית של נוזקה כזו היא שהמכשיר הופך ל"פרוקסי מגורים" (Residential Proxy). גורמים זרים מנתבים פעילות דרך חיבור האינטרנט הביתי שלכם, כך שהיא נראית כאילו יצאה מכתובת ה-IP שלכם. לפי הכתבה, כך אפשר להסוות מתקפות סייבר, גניבות זהות ופעילות לא חוקית אחרת. בעל המכשיר ממשיך לשלם על החשמל ועל האינטרנט, ובדרך כלל לא יודע שזה קורה.
השתלת נוזקות ברמת הקושחה, התוכנה הבסיסית שמגיעה צרובה במכשיר, איננה תופעה חדשה. כבר בעשור הקודם מצאו חוקרי אבטחה טאבלטים וטלוויזיות זולים עם אפליקציות מוסתרות שהציגו פרסומות ברקע. ככל הנראה המודל העסקי השתנה מאז: במקום רק להציג פרסומות, היצרן או מי שפועל דרכו מוכרים גישה לחיבור האינטרנט של המשתמש. ייתכן שזה גם אחד ההסברים למחירים הנמוכים של חלק מהמכשירים האלה.
MECOOL נחשב בישראל למותג שנותן תמורה טובה למחיר, ולכן סביר שמכשירים שלו נמצאים בלא מעט בתים בארץ. בכתבה לא פורט אילו דגמים בדיוק נגועים.
מה עושים עכשיו
- מי שיש לו מכשיר MECOOL או סטרימר זול אחר ממותג לא מוכר צריך לנתק אותו, לפחות מהאינטרנט. הנוזקה פועלת דרך הרשת, ולכן הניתוק עוצר את הנזק המיידי.
- כדאי לבדוק אם צריך בכלל סטרימר נפרד. כמעט כל טלוויזיה חכמה שנמכרת היום מאפשרת להתקין אפליקציות ישירות עליה.
- מי שקונה סטרימר צריך לבחור ביצרנית מוכרת. בכתבה מוזכרות שיאומי, אנבידיה ולנובו. יצרניות כאלה משתמשות בדרך כלל במנגנוני הגנה ברמת החומרה, כמו חתימות קריפטוגרפיות שמוודאות שהתוכנה במכשיר לא שונתה.
- כדאי להיזהר מהבטחות לתוכן חינמי. לפי הכתבה, יצרניות בשולי השוק מנצלות את הביקוש לתוכן פיראטי. מכשיר שמבטיח "הכול בחינם" עלול לגבות את המחיר בדרך אחרת.
בשורה התחתונה, הפרשה מראה שאת הסיכון במכשיר ביתי מחובר לא תמיד מכניס המשתמש, למשל בהורדת אפליקציה מפוקפקת. לפעמים הוא כבר מותקן כשהמכשיר יוצא מהמפעל.