Je sluit een Android TV box aan, koppelt hem aan je wifi en logt in bij Netflix. Op ruim 1,3 miljoen apparaten zat zo’n kastje met een backdoor die de fabrikant zelf had ingebouwd. Dat stelt Google, nadat het de servers achter de operatie via juridische stappen liet uitschakelen.
De fabrikant is Videostrong Technology uit Shenzhen. Google gaat er met grote zekerheid van uit dat het bedrijf de backdoor bewust bouwde, beheerde en er geld mee verdiende. Het ging dus niet om een hack van buitenaf.
Wat deed die backdoor op je tv-box?
De code heet XCPE en draait als systeemapp in de firmware. Zo’n app heeft meer rechten dan alles wat je zelf installeert. Verwijderen lukt niet: na een herstart zet het apparaat hem terug vanuit een beschermd deel van het geheugen. Eerst schakelt XCPE de controle van Google Play Protect uit. Daarna kan er ongemerkt van alles bij.
Dat “alles” verkocht Videostrong door aan criminele partners. Zij laadden hun eigen modules in. Sommige boxen bekeken onzichtbaar advertenties, zodat adverteerders betaalden voor weergaven die nooit bestonden. Andere maakten van jouw internetverbinding een doorgeefluik. Het verkeer van vreemden loopt dan via jouw wifi en lijkt van jouw huisadres te komen. Zie het als iemand die jouw brievenbus gebruikt als postadres voor pakketjes waar jij niets van weet.
Google zag ook operators die live schermafbeeldingen maakten, toetsaanslagen stuurden en accountgegevens kopieerden.
Hoe kwam dit door de keuring heen? De schadelijke code kwam pas na het eerste opstarten binnen, verstopt achter versleutelde code. Google past de keuring van firmware nu aan. Videostrong mag geen gecertificeerde Android-apparaten meer bouwen en geen software meer leveren aan andere fabrikanten.
Het blijft niet bij 1,3 miljoen. De criminele partners verspreidden hun modules ook via andere kanalen. Door hun servers uit te schakelen verliezen volgens Google minstens 10 miljoen andere besmette apparaten hun beheerders. Het gaat vooral om Android TV boxen, maar ook om telegeneeskunde-apparatuur, karaokemachines en digitale reclameschermen.
Zit er zo’n box onder jouw tv?
Google noemt geen merken of modellen. Dat maakt het lastig. Onderzoekers kochten zelf een MECOOL-box en vonden de backdoor er al op, en ze publiceerden een lijst met 182 modelnamen die met de campagne te maken hebben. Een modelnaam alleen zegt nog niets over jouw exemplaar.
Zonder zekerheid helpt een stappenplan.
Stap 1: zoek merk en model op. Staat er geen merk of model op je box? Kwam hij van een webshop of marktplaats waar je nooit eerder bestelde? Dan weet je al meer. Een bekend merk met een eigen updatebeleid kun je veel beter beoordelen dan een kastje zonder naam.
Stap 2: kijk wat je router ziet. Veel routers laten per apparaat zien hoeveel dataverkeer er langskomt. Een tv-box die ’s nachts blijft uploaden terwijl niemand kijkt, draait waarschijnlijk meer dan Netflix. Het bewijst niets, maar het is een reden om verder te kijken.
Stap 3: stop met gebruiken als je twijfelt. Zelf verwijderen kan niet. Beveiligers zien alleen een oplossing via de fabrikant, via platformbescherming of door het apparaat te vervangen. Een fabrieksreset ruimt misschien extra geïnstalleerde modules op, maar of de backdoor zelf verdwijnt, is onduidelijk. De code staat immers in de firmware.
Stap 4: wijzig je wachtwoorden. Operators kopieerden accountgegevens. Pas daarom de wachtwoorden aan van alles waarmee je op die box inlogde, zoals je Google-account en je streamingdiensten. Zet waar het kan tweestapsverificatie aan.
Stap 5: vervang hem door een streamer van een merk dat je kent. Bij een streamer van een bekend merk komen software en updates van dezelfde partij als de hardware. Een Amazon Fire TV Stick HD is genoeg voor een tv zonder 4K. Heb je een 4K-tv, dan past de Fire TV Stick 4K Max beter. Werk je met Google Home, kies dan de Google TV Streamer.
Dit speelt ook buiten de tv. Camera’s, deurbellen en slimme stekkers hangen aan hetzelfde netwerk als je telefoon en laptop. Automatische updates en tweestapsverificatie zijn de basis. Welke drie instellingen je meteen kunt aanpassen, lees je in ons stuk over Russische spionage via IP-camera’s. En waarom een onbekend merk zonder updatebeleid zelden een goed plan is, staat in het artikel over de automatische AI-hacker.
Staan er meerdere tv’s in huis zonder 4K? Dan vervang je ze in één keer met een tweepack van Amazon, of je pakt één 4K-stick voor de tv die je het meest gebruikt.
Tijd om je tv-box te vervangen? Bekijk alle streamers bij tink en kies een apparaat van een merk dat je kent.
