用戶小心安卓智慧電視後門程式現身

:0:0

隨著歲末購物季結束，許多消費者家裡都添購了各式各樣的智慧型裝置，其中一項熱門的物聯網(Internet of Things，簡稱 IoT)裝置就是智慧型電視。這類電視有別於以往只是被動播放影像的裝置，許多甚至可執行Android應用程式。或許有些人會覺得這項功能非常實用，但這樣的功能卻有其風險。智慧型電視可讓使用者觀賞其他途徑無法取得的其他國家頻道，是一項許多消費者都覺得相當實用的功能。問題是，某些應用程式卻會讓使用者暴露在危險當中。趨勢科技發現有些應用程式會攻擊CVE-2014-7911這個Android系統存在已久的舊漏洞(Lollipop5.0之前的版本：從Cupcake1.5至 Kitkat4.4W.2)，也就是他們所偵測到的ANDROIDOS_ROOTSTV.A惡意程式。今日絕大多數智慧型電視使用的都是舊版Android系統，因此這個漏洞仍然存在。而這些含有漏洞的智慧型電視品牌包括：長虹(Changhong)、康佳(Konka)、小米(Mi)、Philips、Panasonic以及Sharp。其實，其他仍在使用舊版Android的裝置同樣也存在著危險，只不過剛好這類應用程式主要都用於智慧型電視或者智慧型電視機上盒而已。那麼，這項威脅是經由何種方式發動攻擊？首先，駭客會先引誘智慧型電視使用者前往前述網站下載已遭感染的惡意程式。一旦程式安裝到電視機之後，駭客就會觸發系統的漏洞。駭客會利用一些廣為人知的漏洞攻擊技巧，例如：記憶體塗鴉(heap spraying)或返回指標程式碼(return-oriented programming)來取得系統管理許可權。在取得系統管理許可權之後，駭客就會在系統上偷偷安裝其他應用程式或惡意程式。根據分析顯示，駭客會從遠端更新程式，也會從遠端將相關應用程式推送至電視機上。請注意，這些遠端安裝的應用程式是利用HTTP連線來下載，而非HTTPS連線。因此，若有「第二個」暗中觀察這項行為的駭客，就能透過中間人攻擊來篡改第一個駭客的下載動作，進而下載別的應用程式到電視機上。如何保護你的智慧電視可利用趨勢科技的「行動安全防護」軟體來偵測這項威脅。雖然大多數的Android裝置都很容易升級到最新的系統版本，但智慧型電視卻礙於硬體設計上的限制而無法輕易升級。因此，建議的替代作法是在電視機上安裝一套防護軟體，並且避免安裝非Google官方網站提供的應用程式。