Открытый порт Android Debug Bridge (ADB) на устройствах SuperBox в сочетании с правами root позволяет незаметно устанавливать любые приложения в формате APK. Для этого достаточно одной команды pm install, указал исследователь Plume Гергелий Эберхардт. Такой способ обходит проверку подписи, запрет на установку из неизвестных источников, запросы разрешений и сканирование Play Protect.
Риск усиливается тем, что на устройствах по умолчанию установлены приложения со встроенными функциями прокси. Это может привести к подключению SuperBox к дополнительным сетям домашних прокси или ботнетам из устройств интернета вещей. Владельцы приставок при этом могут не знать, что их оборудование используется несколькими ботами одновременно, отмечается в исследовании Plume.
Некоторые прокси-сервисы ограничивают клиентам доступ к локальным сетям пользователей SuperBox. Однако в сети Popanet, которую ранее заблокировали, это ограничение можно было обойти через специальный адрес 0.0.0.0. Android перенаправляет такой запрос на адрес SuperBox 127.0.0.1, после чего пользователь прокси получает возможность обращаться к другим устройствам в локальной сети.
Специалисты Plume провели контролируемый эксперимент, подключив устройство к Popanet в качестве домашнего выходного узла. Все обращения через туннель к портам 5555 и 5858, которые обычно используются ADB, перенаправлялись на подготовленную ловушку. За более чем 3 недели система зафиксировала 1 352 отдельные попытки получить доступ к ADB через выявленную уязвимость.
Попытки атак разделили на 2 группы по используемым адресам обратной петли. В первой применялся адрес 0.0.0.0 — напрямую либо через доменные имена с подстановкой адреса, включая nip.io. Во второй использовался адрес 127.0.0.1, который прокси блокировал проверкой isLoopbackAddress().
Редакция направила запрос владельцам сайта mysperboxtv.com, однако ответа к моменту публикации не получила.
