Read this before you buy that TV streaming stick

Read this before you buy that TV streaming stick

来源：HackerNews

Read this before you buy that TV streaming stick：廉价电视棒背后的安全隐患

背景与概述

近年来，随着智能家居的普及，电视流媒体棒（Streaming Stick）已成为家庭娱乐的标配设备。从亚马逊Fire TV Stick到各类Android TV盒子，这些体积小巧、价格低廉的设备让用户能够轻松将普通电视升级为智能电视。然而，安全研究机构KrebsOnSecurity的最新调查报告揭示了一个令人不安的事实：市面上大量廉价流媒体棒存在严重的安全漏洞，部分设备甚至在出厂时就被植入了恶意软件。

这类问题主要集中在通过非官方渠道销售的"山寨"或"翻新"设备上。攻击者利用供应链的薄弱环节，在设备固件中预装后门程序或广告插件。当用户将这些设备连接到家中的Wi-Fi网络后，恶意代码便开始窃取网络凭证、注入广告，甚至将设备纳入僵尸网络。对于普通消费者而言，这些安全风险往往被低廉的价格标签所掩盖；而对于开发者来说，这暴露了IoT设备供应链安全的系统性脆弱性。

核心内容

1. 预装恶意软件的供应链污染

调查发现，许多通过第三方电商平台销售的廉价流媒体棒搭载了被修改过的Android TV固件。这些固件保留了原厂功能，但额外添加了隐藏在系统进程中的恶意服务。这些服务通常伪装成"系统更新"或"网络优化"组件，定期向C2服务器回传设备信息，并接收远程指令。

2. ADB调试接口的滥用风险

为便于开发和售后，许多厂商在出厂时开启了Android Debug Bridge（ADB）调试端口，且未设置认证机制。攻击者可以通过局域网扫描发现这些开放端口，在无需物理接触的情况下获得设备的root权限，进而安装键盘记录器或代理工具。

3. 证书固定（Certificate Pinning）的缺失

正版流媒体应用通常采用HTTPS加密通信，但山寨设备中的系统组件往往跳过证书验证环节。这使得中间人攻击（MITM）变得轻而易举，攻击者可以劫持设备的DNS请求，将用户导向钓鱼网站或恶意软件下载服务器。

4. 持久化机制的隐蔽性

恶意固件通常修改boot分区或recovery模式，即使执行出厂重置也无法清除后门。部分高级变种还会感染连接的外置存储设备，实现跨设备的横向传播。

技术分析

从技术架构来看，这些受感染的流媒体棒通常基于Amlogic或Rockchip等通用SoC方案，运行修改版的Android TV系统。攻击者的入侵点主要集中在以下几个层面：

首先，在Bootloader层级，恶意代码通过替换boot.img中的init脚本实现自启动。以下是一个典型的恶意服务注入示例：

# 修改init.rc文件添加恶意服务
service malware_daemon /system/bin/stealth_svc
    class main
    user root
    group root
    oneshot

其次，在应用层，攻击者利用Android的AccessibilityService权限构建键盘记录器。该组件本意为辅助残障人士使用设备，却被滥用来捕获用户在Netflix、银行App等敏感应用中输入的凭证。

网络层面，这些设备常通过DNS劫持实现流量重定向。恶意固件会修改/system/etc/hosts文件或替换系统DNS客户端，将合法服务的域名解析到攻击者控制的服务器。更 sophisticated 的实现还会使用Transparent Proxy，通过iptables规则拦截所有TCP流量：

# 重定向所有HTTP/HTTPS流量到本地代理
iptables -t nat -A OUTPUT -p tcp --dport 80 -j REDIRECT --to-port 8080
iptables -t nat -A OUTPUT -p tcp --dport 443 -j REDIRECT --to-port 8080

实践建议

对于开发者和技术用户，在使用或推荐此类设备时应采取以下防护措施：

网络隔离策略：将流媒体设备部署在独立的IoT VLAN中，与存储敏感数据的工作设备物理隔离。通过路由器规则限制其仅能访问必要的流媒体服务IP段，阻断与未知C2服务器的通信。

固件验证与刷机：购买后立即检查固件签名，优先选择支持官方解锁Bootloader的设备，并刷入LineageOS等可信第三方ROM。可通过以下ADB命令检查系统完整性：

# 检查系统分区哈希值
adb shell su -c "find /system -type f -exec md5sum {} + > /sdcard/system_hash.txt"
adb pull /sdcard/system_hash.txt
# 与官方ROM的哈希列表比对

流量监控：在家庭网关上部署Pi-hole或AdGuard Home，监控DNS查询日志。若发现设备频繁请求可疑域名（如随机字符串组成的域名），应立即断网并进行深度杀毒。

ADB安全加固：如非开发需要，通过以下命令彻底关闭调试端口：

adb shell settings put global adb_enabled 0
adb shell setprop persist.adb.tcp.port ""

总结

KrebsOnSecurity的这项调查再次提醒我们，在享受廉价智能设备带来便利的同时，必须警惕供应链安全的"冰山效应"。对于开发者而言，这不仅是一次安全意识的警醒，更是推动IoT设备安全标准完善的契机。在未来选购电视流媒体棒时，建议优先选择官方渠道、支持定期安全更新且社区评价透明的品牌，切勿因小失大，让家庭网络成为黑客的跳板。