Klien YouTube SmartTube di Android Disusupi Malware

Klien YouTube SmartTube di Android Disusupi Malware – Klien YouTube open-source populer untuk Android TV, SmartTube, baru-baru ini mengalami insiden keamanan serius.

Penyerang berhasil mendapatkan akses ke kunci penandatanganan digital milik pengembang, yang memungkinkan pembaruan berbahaya (malicious update) didorong langsung kepada pengguna.

Kompromi ini terungkap ketika banyak pengguna melaporkan bahwa Play Protect, modul antivirus bawaan Android, mulai memblokir aplikasi SmartTube di perangkat mereka, disertai peringatan risiko keamanan.

Pengembang SmartTube, Yuriy Yuliskov, mengakui bahwa kunci digitalnya telah disusupi pada akhir pekan lalu, yang berujung pada disuntikkannya malware ke dalam aplikasi.

Sifat dan Popularitas SmartTube

SmartTube adalah salah satu klien YouTube pihak ketiga yang paling banyak diunduh, terutama digunakan pada perangkat Android TV, Fire TV Stick, dan box Android TV.

Popularitasnya yang tinggi disebabkan karena aplikasi ini gratis, mampu memblokir iklan, dan berjalan dengan baik bahkan pada perangkat dengan spesifikasi rendah.

Justru popularitas dan sifat open-source-nya inilah yang menjadikannya target bernilai tinggi.

Bagaimana Malware Bekerja

Seorang pengguna yang melakukan rekayasa balik (reverse-engineering) pada versi SmartTube yang terkompromi (nomor versi 30.51) menemukan adanya pustaka (library) bawaan tersembunyi bernama libalphasdk.so.

Pustaka ini tidak ada dalam kode sumber publik, yang menunjukkan bahwa ia disuntikkan secara ilegal ke dalam build rilis.

Pengembang sendiri memperingatkan bahwa file tersebut bukan bagian dari proyek atau SDK apa pun yang digunakan dan merekomendasikan kehati-hatian hingga asal-usulnya diverifikasi.

Pustaka berbahaya ini berjalan secara diam-diam di latar belakang, tanpa interaksi pengguna. Fungsinya meliputi:

1. Pengambilan Fingerprint: Mengidentifikasi perangkat host.
2. Pendaftaran Backend Jarak Jauh: Mendaftarkan perangkat ke server rahasia.
3. Pengiriman Metrik: Secara berkala mengirimkan metrik dan mengambil konfigurasi melalui saluran komunikasi terenkripsi.

Meskipun saat ini belum ada bukti jelas mengenai aktivitas jahat seperti pencurian akun atau partisipasi dalam botnet DDoS, risiko untuk mengaktifkan aktivitas tersebut kapan saja sangat tinggi.

Kronologi dan Versi yang Terkompromi

Setelah dihubungi untuk memberikan klarifikasi, pengembang menjelaskan bahwa malware hadir di mesin pengembangannya (development machine) saat build lama dibuat.

Setelah itu, ia segera menghapus sistem dan membersihkan lingkungan, termasuk repositori GitHub, setelah menyadari masalah tersebut.

Berikut adalah kronologi dan versi yang dipastikan terkompromi:

• Versi Terkompromi: Diperkirakan versi yang terkompromi adalah 30.43 hingga 30.47. Beberapa pengguna melaporkan deteksi malware mulai versi 30.43.
• Aman Sementara: Versi 30.19 dilaporkan tidak terdeteksi oleh Play Protect dan tampaknya aman.
• Pergantian Kunci: Setelah membersihkan lingkungannya, pengembang merilis beberapa build menggunakan kunci lama. Namun, untuk keamanan penuh, mulai versi 30.55 dan seterusnya, pengembang beralih menggunakan kunci penandatanganan yang baru.

Apa yang Harus Dilakukan Pengguna?

Pengembang telah mencabut tanda tangan digital lama dan berjanji akan segera mempublikasikan versi baru dengan ID aplikasi terpisah, mendesak pengguna untuk pindah ke versi baru tersebut.

Namun, karena kurangnya detail penuh dan transparansi dari pengembang (post-mortem), yang sempat menimbulkan isu kepercayaan di komunitas, pengguna disarankan untuk mengambil langkah-langkah darurat berikut:

1. Hindari masuk ke SmartTube dengan akun premium Google Anda (atau akun yang sensitif) untuk sementara waktu.
2. Nonaktifkan pembaruan otomatis untuk mencegah instalasi versi yang tidak diverifikasi keamanannya.
3. Pengguna yang terpengaruh sangat disarankan untuk mengatur ulang kata sandi Akun Google mereka.
4. Periksa konsol akun Google Anda untuk akses tidak sah dan hapus layanan pihak ketiga yang tidak Anda kenali atau curigai.
5. Tetap gunakan build lama yang sudah diketahui aman, seperti versi 30.19, sambil menunggu rilis resmi dan post-mortem yang transparan dari pengembang.

Kasus SmartTube ini menjadi pelajaran penting tentang risiko yang melekat pada aplikasi pihak ketiga, bahkan yang populer dan open-source, ketika rantai pasok pengembang (developer supply chain) berhasil dikompromikan.

Sumber berita:

WeLiveSecurity