Co se vlastně stalo se SmartTube?

Aplikace SmartTube si získala popularitu jako alternativa k oficiální YouTube aplikaci hlavně díky tomu, že dokáže blokovat reklamy, funguje dobře i na slabších zařízeních a je zcela zdarma. Problém začal koncem listopadu, když Google Play Protect začal na některých zařízeních automaticky odinstalovávat aplikaci SmartTube. Mnozí uživatelé byli zmatení – aplikace náhle zmizela z jejich televizorů s varováním, že jde o falešnou aplikaci, která se snaží převzít kontrolu nad zařízením nebo ukrást data.

Vývojář aplikace Yuriy Yuliskov brzy potvrdil, že se opravdu stalo něco vážného. Počítač, který používal k vytváření instalačních souborů aplikace, byl infikován malwarem. To znamená, že některé oficiální verze SmartTube, které byly nahrané na GitHub a později stažené tisíci uživateli, obsahovaly škodlivý kód.

Které verze jsou postižené?

Podle vývojáře byly kompromitovány především verze 30.43 až 30.47, které vyšly začátkem listopadu. Někteří uživatelé ale hlásí, že problém se mohl týkat i starších verzí. Postižené verze obsahovaly skrytou knihovnu s názvem libalphasdk.so, která nepatřila do původního kódu aplikace.

Tato škodlivá knihovna dělala několik věcí na pozadí bez vědomí uživatele – sbírala informace o zařízení, včetně modelu telefonu nebo televizoru, verze Androidu, jména mobilního operátora, typu připojení k internetu a dalších údajů. Tyto data pak posílala na neznámý server.

Dobrou zprávou je, že zatím není důkaz o tom, že by malware kradl přihlašovací údaje k účtům nebo se podílel na dalších závažných útocích. Špatnou zprávou ale je, že aplikace mohla kdykoliv obdržet další pokyny ze vzdáleného serveru a spustit jiné škodlivé aktivity.

Co by měli uživatelé udělat

Vývojář mezitím počítač úplně přeformátoval a vytvořil novou digitální signaturu pro aplikaci. Od verze 30.56 jsou podle něj všechny nové sestavení čisté a bezpečné. Kvůli změně digitální signatury se ale změní i identifikátor aplikace, takže nová verze se nainstaluje jako samostatná aplikace vedle té staré.

Pokud máte SmartTube nainstalovaný a používali jste ho v listopadu, měli byste:

• Odinstalovat starou verzi aplikace – původní SmartTube s původní signaturou už nebude dostávat žádné aktualizace a měla by být smazána.
• Stáhnout a nainstalovat novou verzi 30.56 nebo novější – nejbezpečnější je stáhnout aplikaci přímo z oficiálního GitHubu vývojáře nebo přes ověřené instalační nástroje. Nestahujte aplikaci z neznámých zdrojů.
• Zkontrolovat oprávnění – podívejte se na stránku správy oprávnění vašeho Google účtu, jestli tam nejsou nějaké podezřelé aktivity nebo aplikace, kterým jste neúmyslně povolili přístup.
• Zvážit tovární reset zařízení – pokud chcete mít stoprocentní jistotu, že je vaše zařízení čisté, doporučuje se provést tovární obnovení Android TV nebo Fire TV, na kterém byla infikovaná verze nainstalovaná.
• Kontrolovat aktivitu na YouTube účtu – projděte si historii aktivit na YouTube a ujistěte se, že tam není nic neobvyklého.

Proč byl SmartTube tak oblíbený

Aplikace SmartTube si získala popularitu jako alternativa k oficiální YouTube aplikaci hlavně díky tomu, že dokáže blokovat reklamy, funguje dobře i na slabších zařízeních a je zcela zdarma. Na rozdíl od oficiální aplikace nabízí uživatelům mnohem větší kontrolu nad sledováním videí.

Aplikace je open-source projekt, což znamená, že její zdrojový kód je veřejně dostupný. To je obvykle dobrá věc z pohledu bezpečnosti, protože kdokoliv může kód zkontrolovat. Problém ale nastal, když byl kompromitován počítač samotného vývojáře – škodlivý kód se dostal až do finálních instalačních souborů.

Co to říká o bezpečnosti aplikací?

Tento incident ukazuje, jak zranitelný může být celý ekosystém aplikací pro Android. I když Google nedávno zpřísnil pravidla pro instalaci aplikací mimo oficiální Obchod Play, pokud útočníci získají digitální signaturu vývojáře, mohou tyto bezpečnostní mechanismy obejít.

SmartTube není dostupný v Obchodu Play, takže ho uživatelé musí instalovat pomocí sideloadingu – tedy stahování instalačních souborů přímo. To samo o sobě nese určitá bezpečnostní rizika, protože se tím obcházejí standardní kontrolní mechanismy Googlu.

Vývojář Yuliskov slíbil, že v budoucnu přesune distribuci aplikace na platformu F-Droid, která sestavuje aplikace přímo ze zdrojového kódu na svých serverech. To by mělo zabránit tomu, aby se podobný incident mohl opakovat.

Pro uživatele, kteří aplikaci používají každý den, to může být trochu nepříjemné – budou muset aplikaci nainstalovat znovu a nastavit ji od začátku. Bezpečnost vašich zařízení a dat ale rozhodně stojí za tuto drobnou nepříjemnost.

Pokud si nejste jisti, kterou verzi máte nainstalovanou, nebo jestli je vaše zařízení postižené, nejbezpečnější varianta je odinstalovat jakoukoli verzi SmartTube a nainstalovat pouze tu nejnovější přímo z oficiálních zdrojů.

Zdroj: yuliskov Github,  SmartTube GitHub, Android authority, Bleeping computer, aftv news, Tech spot