广受欢迎的安卓电视开源 YouTube 应用 SmartTube 近期遭到黑客入侵，并被植入恶意软件。攻击者获取了该应用的签名密钥，能够对修改版本进行官方签名并将其分发给用户。受影响的版本现已下线，一个安全的新版本已经发布。
SmartTube 发生了什么？
该应用的开发者在 GitHub 上解释称，一名不明身份者获取了该应用数字签名的私钥。利用此私钥，恶意软件得以秘密植入到应用版本 30.43 和 30.47 中而不被察觉。
恶意软件位于 libalphasdk.so 库中，会收集设备信息、已安装应用和 IP 地址等数据。根据分析，账户数据并未被窃取，但该应用未来可能接收攻击者的指令。
幸运的是，谷歌 的保护机制——特别是 Play Protect——为许多用户识别出了此次攻击，并阻止了受感染的安装。这意味着在某些情况下，甚至在用户知晓感染之前，损害就可能已被阻止。
SmartTube 用户现在应该做什么
开发者 Yuliskov 已暂时将该应用下线，并正在 Telegram 上分发一个使用新密钥签名的测试版本。此前被盗用的签名已被宣布无效。关于此次攻击的更多细节，特别是密钥被盗的详情，将随后公布。受影响用户现在应采取以下措施：
卸载受影响的应用版本：移除所有可能受到感染的 SmartTube 版本。
不要恢复任何备份：暂时不要使用该应用的旧设置或备份。
安装新的安全版本：可通过官方渠道（如 GitHub 或开发者验证过的 Telegram 频道）获取版本 30.56。
警惕虚假更新：不要从未知来源下载任何所谓的“修复”应用或非官方版本。
由于 SmartTube 未在 Play 商店 上架，该应用必须通过侧载方式安装。绕过官方安全检查会增加恶意软件风险。此次事件表明，即使是受欢迎的开源项目也可能成为恶意攻击的目标。
