Разработчик известного клиента SmartTube для Android TV подтвердил утечку ключа подписи приложения, что привело к распространению вредоносных APK, включая официальные каналы обновлений. Это позволило злоумышленникам внедрять вредоносный код в пакеты приложения.
Утечка в SmartTube: что ждёт пользователей
Последствия утечки ключа
При реверс-инжиниринге версии 30.51 была обнаружена библиотека libalphasdk.so, собирающая информацию об устройстве и передающая данные на удалённый сервер с использованием зашифрованного DNS и HTTPS. Затронуты версии с 28.56 по 30.52, распространяемые на сторонних сайтах, таких как APKPure, и некоторых сборках на GitHub. Google Play Protect начал блокировать установки SmartTube, показывая предупреждения.
Новая версия и рекомендации
Разработчик очистил среду разработки и приостановил дальнейшие обновления. Опубликована новая версия 30.56 с новым ключом подписи и именем пакета, позволяющим установку как отдельного приложения. Разработчик обещал публично раскрыть, как произошла утечка ключа, и описать планируемые меры по безопасности. Пользователям советуют не устанавливать старые версии и ждать проверенных.
