近日，有攻擊者使用一種新的 Vo1d 后門惡意軟件感染了 130 余萬臺安卓電視流媒體盒，使得攻擊者能夠完全控制這些設備。

Android TV是谷歌針對智能電視和流媒體設備推出的操作系統，為電視和遠程導航提供了優化的用戶界面，集成了谷歌助手，內置Chromecast，支持電視直播，并能安裝應用程序。

該操作系統為包括 TCL、海信和 Vizio 電視在內的眾多制造商提供智能電視功能。它還是英偉達 Shield 等獨立電視流媒體設備的操作系統。

在 Dr.Web 的最新報告中，研究人員發現有 200 多個國家的 130 萬臺設備都感染了 Vo1 d 惡意軟件，其中在巴西、摩洛哥、巴基斯坦、沙特阿拉伯、俄羅斯、阿根廷、厄瓜多爾、突尼斯、馬來西亞、阿爾及利亞和印度尼西亞檢測到的數量最多。

受 Vo1d 感染電視盒的地理分布，圖源：Dr.Web

在此次惡意軟件活動中，被視為目標的安卓電視固件包括：

• 安卓 7.1.2；R4 版本/NHG47K
• 安卓 12.1；電視盒版本/NHG47K
• 安卓 10.1；KJ-SMART4KVIP Build/NHG47K

根據安裝的 Vo1d 惡意軟件版本，該活動將修改或替換操作系統文件，所有這些文件都是 Android TV 中常見的啟動腳本。install-recovery.shdaemonsudebuggerd

修改后的 install-recovery.sh 文件，圖源：Dr.Web

該惡意軟件活動利用這些腳本實現持久性，并在啟動時激活Vo1d惡意軟件。 Vo1d惡意軟件本身位于文件中，這些文件的名稱就是以該惡意軟件命名的。Dr.Web解釋稱，Android.Vo1d的主要功能隱藏在其vo1d（Android.Vo1d.1）和wd（Android.Vo1d.3）組件中，這兩個組件協同工作。

Android.Vo1d.1模塊負責啟動Android.Vo1d.3并控制其活動，必要時重啟其進程。此外，它還可以在C&C服務器的指令下下載并運行可執行文件。

Android.Vo1d.3 模塊負責安裝并啟動加密并存儲在其體內的 Android.Vo1d.5 守護進程。該模塊還可以下載并運行可執行文件。此外，它監控指定的目錄，并安裝在其中找到的 APK 文件。

盡管 Dr.Web 尚不清楚 Android 電視流媒體設備是如何被入侵的，但研究人員認為，這些設備之所以成為攻擊目標，是因為它們通常運行著帶有漏洞的過時軟件。

Dr.Web 認為，其中最有可能的感染途徑或許是中間惡意軟件的攻擊，該軟件利用操作系統漏洞來獲取 root 權限。另一個可能的途徑可能是使用內置 root 訪問權限的非官方固件版本。

為了防止這種惡意軟件的感染，建議 Android 電視用戶檢查并安裝新固件更新。同時確保在它們通過暴露的服務被遠程利用的情況下，將這些設備從互聯網上移除。

此外，用戶也應避免在 Android 電視上從第三方網站安裝 APK 形式的 Android 應用程序，因為它們是惡意軟件的常見來源。