SmartTube : un cheval de Troie involontaire sous Android

Vous êtes assez nombreux à utiliser SmartTube pour pouvoir regarder des vidéos Youtube sans souffrir de la publicité dispensée jusqu’à la nausée par la plateforme. C’est une application prisée des SmartTV et autres TVBox en grande partie parce que les publicités délivrées sont à la fois nombreuses et fort mal contrôlées. Il suffit d’avoir lancé des vidéos pour jeune public pour voir à quel point ils sont la proie de marques cherchant à leur vendre absolument n’importe quoi au travers de ce medium. SmartTube offre par ailleurs un module de réglage fin de la publicité, vous pourrez donc laisser des chaines vous diffuser de la pub pour les soutenir ou faire sauter les « promotions » dans les vidéos si vous le souhaiter.

L’application offre également des fonctions avancées comme le Picture in Picture, l’ajustement de la vitesse de lecture, la recherche vocale et autre. Elle permet de retrouver tout son univers avec un support d’authentification identique à Youtube sans avoir besoin des Services Google. SmartTube, donc, est massivement employé en lieu et place de l’application officielle. Elle est Open Source, portée par un développeur indépendant qui la propose totalement gratuitement. Problème, SmartTube a été infecté à l’insu de son créateur et a poussé chez les utilisateurs un élément malveillant susceptible d’être problématique.

Une infection de SmartTube à l’insu de son créateur

L’histoire est très classique. Le créateur de l’application, Yuriy Yuliskov, a d’abord été lui-même infecté. Son environnement de développement a subi une attaque visant à modifier sa signature et à intégrer des éléments non documentés. L’idée est de permettre ensuite d’utiliser cette clé modifiée pour envoyer des mises à jour vers Google sans alerter le développeur. Cela a permis de proposer au téléchargement une version altérée de SmartTube qui contenait des instructions non documentées. Et cela sans que l’alerte soit donnée puisque pour Google, ces nouvelles mises à jour étaient bel et bien poussées par Yuriy. Ce dernier a d’ailleurs reconnu que plusieurs versions de SmartTube ont été infectées. Depuis la version 30.43, toutes présentaient un risque.

Le système Play Protect de Google a bien émis des signalements quant à l’application, mais pour beaucoup de monde ces alertes ne sont pas prises au sérieux. En effet, SmartTube étant une alternative au client de Youtube qui met à mal son écosystème de financement par la publicité, il n’est pas rare que les internautes soient alertés de dangers potentiels ou imaginaires de la part de Play Protect concernant ce type d’applications.

Un internaute a voulu en avoir le cœur net et a donc lancé un examen approfondi du code de l’application suite à ce signalement. Il a découvert dans les entrailles de SmartTube la présence d’un bout de code non documenté par son créateur. Cet élément n’avait aucune utilité pour l’usage de l’application, on l’avait attachée au projet directement au moment de sa compilation.

Cette extension se lançait de manière cachée après le lancement de SmartTube, invisible pour l’utilisateur, et dressait un portrait complet de la machine qui exécutait le programme. Ces informations étaient ensuite envoyées vers un serveur distant comme une carte d’identité de la machine. Un premier pas classique de la part de groupes mafieux qui récupèrent ainsi des données nécessaires pour une opération de prise de contrôle ou d’infection de type Botnet. L’alerter a donc été donnée et Yuriy Yuliskov a décidé de couper court au problème en changeant de certificat de validation. Abandonnant son ancienne signature et empêchant son utilisation à l’avenir. De son côté, le système Play Protect de Google a tout simplement fait disparaitre à distance les versions infectées de SmartTube directement sur les machines l’ayant installée. Si ce n’est pas le cas sur votre TVBox ou votre SmartTV, ce sera à vous de le faire à la main si votre version est ultérieure à la version 30.43.

Les nouvelles versions disponibles, en beta ou en version stable, sont désormais nettoyées. Le créateur de l’application n’a pas fait dans la dentelle et a supprimé tout son environnement pour repartir de zéro. Il a également nettoyé sa page Github pour éviter que des versions altérées ne soient téléchargées. Vous pouvez donc réinstaller SmartTube sans soucis en allant sur le site dédié. En cas de doute, vous pouvez par ailleurs modifier votre mot de passe Google que vous utilisez pour accéder à Youtube.

Dans tous les cas, n’installez jamais SmartTube depuis une autre source que la page du créateur. Des dizaines de faux sites proposent des versions vérolées de l’application qui n’en est pas à sa première attaque.

Source : Bleepingcomputer