Android TVとFire TV向けのYouTube代替アプリ「SmartTube」の公式APKがマルウェアに感染した事件。開発者のPCがマルウェアに侵入され、一部の公式リリースにマルウェアが混入。感染したバージョンを使用している場合は、デバイスの初期化やアカウントの監査が推奨される。
-
1：スレ主
SmartTubeの公式APKがマルウェアに感染したらしいぞ https://www.aftvnews.com
-
2：スレ主
SmartTubeの開発者のPCがマルウェアにやられたってマジかよ https://www.aftvnews.com 公式GitHubから落としたAPKにもマルウェア混入の可能性アリ
-
5：以下、名無しがお送りします
>>2 リリースアプリを自分のPCでビルドするからこうなるんだよ
-
11：以下、名無しがお送りします
>>5 絶対に感染しないPCでビルドすればよかったのに
-
12：名無しのA
SmartTubeの設定バックアップ、感染バージョンで作ったやつでも復元して大丈夫？
-
20：スレ主
>>12 バックアップがテキストファイルなら大丈夫じゃね？ 心配なら手動で設定し直せばいいんじゃね？
-
35：名無しのA
>>20 バックアップフォルダの中身はXMLファイルだね
-
43：以下、名無しがお送りします
>>20 脆弱性の種類によるけど、基本的には大丈夫だと思う
-
21：以下、名無しがお送りします
>>20 Fire TV Stickも初期化必要？ 感染したAPK使ってないと思うんだけど
-
22：スレ主
>>21 SmartTubeのアップデートを最近したならアウトかも Amazonは何も検知してくれなかったから、自分で初期化したわ
-
29：以下、名無しがお送りします
>>22 専用のFire Stickアカウント使ってるから安全かな？
-
44：名無しのB
GitHub Actionsでビルドしろよって話 開発者はCI/CD環境構築しとけ
-
65：名無しのB
>>44 ユーザーじゃなくて、開発者の話だよ SmartTubeの開発者は自分のPCでビルドしてたみたい
-
46：以下、名無しがお送りします
>>44 Dockerコンテナで署名できるの？ Android Studioに縛られてるイメージだけど
-
49：名無しのB
>>46 https://github.com
-
58：以下、名無しがお送りします
>>44 毎回コードレビューしてる？ ライブラリも全部？ そうじゃないなら意味ないぞ
-
63：以下、名無しがお送りします
>>58 オープンソースのセキュリティなんてそんなもん 自分で全部レビューしないと意味ない
-
69：以下、名無しがお送りします
>>44 Gentooをコンパイルするようなオタク向けの話だろ 普通のAndroid TVユーザーには無理 開発者のPCが感染したのがヤバい
-
72：名無しのB
>>69 「お前」ってのはSmartTubeの人みたいな開発者のことだよ
-
78：以下、名無しがお送りします
>>44 GHAを狙ったnpmサプライチェーンハックが流行ってるの知ってる？
-
80：名無しのB
>>78 CIも開発機も両方狙われてる 依存関係のバージョンを固定するのが対策
-
87：以下、名無しがお送りします
>>44 GitHub Actionsも大規模なNPMサプライチェーンワームに使われたばかりだぞ システムじゃなくて、セキュリティ対策が大事
-
97：名無しのB
>>87 狙われたのはNpmであって、GitHub Actionsじゃない 開発機も同じくらい影響受けてる CI/CDパイプラインでエフェメラルビルダーを使うのも良い対策
-
104：名無しのC
パスワードとか抜き取られたかもだけど、デバイスを初期化しろとか煽りすぎ PCが感染しただけで、コンパイルされたAPKが感染するとは思えない
-
113：以下、名無しがお送りします
>>104 どんなマルウェアかわからないから、念のため初期化しろってことだろ
-
157：以下、名無しがお送りします
>>104 記事読んだ？
-
116：名無しのD
>>104 ビルドプロセスを狙うマルウェアもあるぞ 感染したPCでAPKをビルドしたら、GitHubには変化は現れない
-
119：名無しのC
>>116 Android StudioをターゲットにするWindows/Linuxマルウェアの事例を教えて
-
128：名無しのD
>>119 https://blog.gradle.org Googleで検索すればもっと出てくる 「まだ起きてない」は反論にならない
-
135：名無しのC
>>128 ユニコーンを見たことがないのと同じだな パスワードを変えるのは良いけど、アンインストールしたアプリのために初期化しても意味ない
-
145：名無しのE
>>104 Androidのセキュリティモデルは、こういう事態を想定して設計されてる マルウェアが他のアプリを感染させることはできない 個人情報が漏洩したとしても、デバイスを初期化しても無駄
-
150：以下、名無しがお送りします
>>145 Shield Proから自動的に削除されたけど、動作が重くなったから初期化した 気のせいかもしれないけど、用心のため
-
154：名無しのE
>>150 パフォーマンスの問題なら効果あるかもだけど、セキュリティのためなら不要
-
165：以下、名無しがお送りします
Android boxから消えたのはこれが原因か
-
174：以下、名無しがお送りします
>>165 Google Play Protectは悪だって言うやつがいるけど、これ見ろよ
-
205：以下、名無しがお送りします
>>174 Google PlayはAndroid界の警察 悪いアプリから守ってくれるけど、許可されてないアプリを監視することもできる
-
177：名無しのF
>>174 聞かずにアプリを削除して設定も消すのは勘弁
-
200：以下、名無しがお送りします
>>177 まさにそれされた
-
184：以下、名無しがお送りします
>>177 それがアンチマルウェアサービスの仕組み
-
187：名無しのF
>>184 そういうサービスを使わない選択肢が欲しい
-
190：以下、名無しがお送りします
>>187 Play Protectはオフにできるよ
-
207：以下、名無しがお送りします
まだ29.83だけど、念のためアンインストールした
-
213：以下、名無しがお送りします
>>207 こっちも同じバージョン 安全？
-
223：以下、名無しがお送りします
Nvidia Shieldを初期化しないといけないのか…
-
259：以下、名無しがお送りします
>>223 アプリは隔離されてるから、初期化しなくても大丈夫 そもそもTVで銀行の用事とかするな
-
225：スレ主
>>223 数週間前にリモコンの誤操作で初期化しちゃったから、またやるだけ
-
233：以下、名無しがお送りします
>>225 初期化で一番面倒なのはKodiの設定
-
236：以下、名無しがお送りします
>>223 本当に初期化が必要なのか教えて欲しい 面倒すぎる
-
245：名無しのC
>>236 パスワードとか権限持ってないし、最悪YouTubeにコメントとか動画を投稿するくらい アカウントへのアクセス権を取り消せばOK
-
253：以下、名無しがお送りします
>>236 古いバージョンをアンインストールして、GoogleアカウントからSmartTubeの接続を削除して、新しいバージョンをインストールした