(画像クレジット: SmartTube) 悪意あるライブラリが、ユーザーに異常を気付かれないままSmartTubeのアップデートに紛れ込んだ Play プロテクトの警告をきっかけに、コミュニティが不審なビルドの調査を開始 隠しファイルがリモート通信チャネルを維持していたことが判明し、ユーザーに不安が広がった SmartTubeは、広く利用されているAndroid TV向けYouTubeクライアントですが、最近、開発者の署名鍵が攻撃者に奪われたことで深刻な侵害に直面しました。 この侵害により、悪意あるアップデートが何の警告もなくユーザーに配信され、libalphasdk.so として知られる秘密のネイティブライブラリが追加されました。 バージョン30.51の解析では、この隠しライブラリがオープンソースのコードベースには存在しないことが確認されています。 このファイルはバックグラウンドで動作し、デバイスをリモートサーバーに登録し、ユーザーに知らせることなく通信を維持していたため、重大な警告サインとなりました。 この問題は、Play プロテクトがアプリにフラグを立てインストールをブロックしたことで表面化し、コミュニティ全体に即座の懸念を引き起こしました。 その挙動は監視目的の活動に類似しており、悪用の可能性に対する懸念が高まりました。 SmartTubeの開発者であるYuriy Yuliskov氏は、攻撃者に鍵を奪われ、アプリに有害なコードを追加されたことを認めました。 これを受けて彼は署名を失効させ、クリーンなリリースの作業を開始しましたが、そのファイルについては「予期せぬ不審なもの」と表現しています。 「おそらくマルウェアです。このファイルは私のプロジェクトや、私が使用しているいかなるSDKの一部でもありません。そのAPK内での存在は予期せぬものであり、不審です。その出所が確認されるまでは注意を推奨します」と、Yuliskov氏はGitHubスレッドで述べています。 開発者はTelegram上でも、ベータ版および安定版のテストビルドが利用可能であると発表しましたが、これらのビルドはまだ公式リポジトリには登場していません。 ユーザーは、侵害がどのように発生したのか、またどのバージョンが影響を受けたのかについて、明確な説明を受けていません。 この情報不足により、明確な事後分析を期待していた長年のユーザーの間で不安が広がっています。 コミュニティの一部からは、30.19のような古いバージョンではPlay プロテクトの警告が出なかったとの報告もありますが、特定のリリースの安全性については依然として不確実です。 状況が完全に明らかになるまでは、ユーザーは検証済みの古いビルドを利用し、重要なアカウントでのサインインを避け、自動アップデートを無効にしておくべきです。 Googleアカウントのパスワードをリセットし、アカウントアクティビティを確認することも、不正アクセスのリスク軽減に役立つ可能性があります。 定期的にアンチウイルスチェックを実行することで安心感を高めることができ、何か異常が見つかった場合は、ターゲットを絞ったマルウェア駆除で対応できます。 より厳格なファイアウォールルールを設定することも、クリーンなリリースを待つ間の不要な接続を減らす助けになるかもしれません。 なお、Yuliskov氏は、すべての問題を修正し、F-Droidストアで新バージョンを公開すると約束していますが、この一件は、信頼されているオープンソースプロジェクトであっても、重要なセキュリティ管理が破られれば脆弱になり得ることを示しています。 情報源: Bleeping Computer 翻訳元:

Checklist I made sure that there are no existing issues - open or closed - which I could contribute my information to. I have read the FAQ and my problem isn't listed. I have taken the time to fill...

Free premium app for Android boxes and tvs

Browse media content with your own rules on Android TV - yuliskov/SmartTube

Browse media content with your own rules on Android TV - yuliskov/SmartTube

Download YouTube Vanced, TikTok Vanced, and Vanced Manager APKs for an ad-free, enhanced streaming experience. Get the latest versions now!

Google voert eind 2026 een verplichte verificatie in voor makers van Android-apps die buiten de Play Store op Android worden geïnstalleerd. Het bedrijf zegt hiermee het sideloaden van apps veiliger te...

The popular open-source SmartTube YouTube client for Android TV was compromised after an attacker gained access to the developer's signing keys, leading to a malicious update being pushed to users.

Browse media content with your own rules on Android TV - yuliskov/SmartTube

SmartTube es una aplicación avanzada de YouTube para Android TV y TV box, gratuita y de código abierto. No es un cliente de TV en vivo y no es compatible con "YouTube TV". Características principales ...