Взлом SmartTube: Опасное обновление

Один из самых популярных неофициальных клиентов YouTube для телевизоров и приставок оказался под угрозой. В официальную сборку SmartTube версии 30.51 злоумышленники внедрили вредоносный код, используя похищенные ключи цифровой подписи разработчика проекта, Юрия Лискова. Инцидент заставил сообщество задуматься о безопасности альтернативного софта.

Пользователи первыми заметили проблему, когда система Play Protect начала блокировать приложение. Анализ скомпрометированного APK выявил скрытую библиотеку libalphasdk.so, которой нет в открытом исходном коде. Этот компонент тайно собирал данные об устройстве, регистрировал его на удалённом сервере и передавал телеметрию, оставаясь полностью невидимым для владельца.

Разработчик подтвердил компрометацию ключей и отозвал старый сертификат. Он готовит к выпуску полностью пересобранное приложение с новым идентификатором, но пока оно не опубликовано. До выхода безопасной версии и подробного отчёта о произошедшем рекомендуется откатиться на проверенную сборку 30.19, отключить автообновления и быть осторожнее с авторизацией аккаунтов.

Пока не зафиксировано краж учётных записей или явно деструктивных действий, но сам факт наличия скрытого backdoor’а представляет огромный риск. Владельцам заражённой версии 30.51 стоит сменить пароль Google, проверить историю активности и отозвать доступ у незнакомых приложений в настройках аккаунта.

Инцидент с SmartTube стал тревожным сигналом для всего сообщества. Он показал, что даже доверенные проекты с открытым кодом уязвимы, если цепочка сборки и подписания приложений не защищена должным образом. Теперь пользователям придётся пересмотреть своё отношение к автоматическим обновлениям даже для самых удобных неофициальных клиентов.