120.000 box Android TV affittavano la connessione dei proprietari

Un box Android TV economico sotto il televisore raramente viene considerato parte della superficie di attacco della rete di casa. I ricercatori di Bitsight hanno appena mostrato perché dovrebbe esserlo: una partita di lettori multimediali low cost è uscita dalla fabbrica con una backdoor che guadagna in due modi contemporaneamente, con la frode pubblicitaria e come nodo di uscita di una rete di proxy residenziali che fa passare il traffico di sconosciuti attraverso la connessione domestica del proprietario.

Un dominio scaduto ha aperto l'intera operazione

L'indagine è nata per caso. Il ricercatore di Bitsight Pedro Fale ha registrato un dominio scaduto usato per la telemetria di una backdoor installata sui box Android TV. Invece del silenzio sono arrivate le segnalazioni dei dispositivi sul campo: oltre 65.000 rapporti da circa 38.000 indirizzi MAC unici in un solo giorno. La maggior parte si presentava non come box TV, ma come telefoni.

I ricercatori hanno chiamato l'operazione Fuyao. I dati del sinkhole pendono verso i modelli più vecchi di un solo marchio, H96, quindi 38.000 è un pavimento e non un tetto: gli stessi operatori pubblicizzano una rete di oltre 120.000 dispositivi.

Un box, due mestieri, e decide il cavo HDMI

La parte più insolita di Fuyao è come organizza il lavoro. Il malware controlla se il cavo HDMI è collegato, segnale affidabile del fatto che qualcuno stia davvero guardando la televisione:

• HDMI collegato: il box diventa nodo di uscita SOCKS5 e instrada il traffico altrui sulla linea del proprietario.
• HDMI scollegato: il box passa alla frode pubblicitaria, falsifica l'identità hardware di modelli diffusi di Samsung, Huawei, Xiaomi e Vivo e clicca annunci su siti gestiti dagli operatori stessi.

Il dispositivo produce denaro ventiquattro ore su ventiquattro, e la modalità che mette traffico altrui dietro l'indirizzo IP del proprietario si attiva esattamente quando in casa si guarda la TV.

Visione artificiale e uno strumento di coding per bambini

Per individuare gli spazi pubblicitari in una pagina, l'app porta con sé un modello di rilevamento oggetti YOLOv8s addestrato su dodici elementi dello schermo, comprese le classiche aree banner e i widget Taboola, e lo combina con i dati di accessibilità di Android e il riconoscimento del testo di Google ML Kit. La logica delle campagne viene assemblata in Blockly, il linguaggio visuale a blocchi che Google ha creato per insegnare a programmare ai bambini: il personale incastra i blocchi in un editor interno, esporta il risultato in JavaScript e lo carica sul cloud, da dove i box infetti lo prelevano. Bitsight ha raccolto circa 166 moduli di frode in due passaggi.

I conti sono modesti per dispositivo e consistenti nel totale. Una stima prudente di 1-1,25 dollari per dispositivo al giorno porta a circa 150.000 dollari giornalieri sull'intero parco dichiarato e fino a 40 milioni di dollari l'anno, tenendo conto dei filtri antifrode e del tasso di riempimento pubblicitario.

Perché un nodo proxy in salotto è un problema del proprietario

Un box Fuyao su sei si sovrapponeva ai dati dei proxy residenziali commerciali nell'arco di 24 ore, uno su quattro in sette giorni. Bitsight lo legge come un affitto di banda ai fornitori di proxy residenziali, i servizi che vendono indirizzi IP domestici "puliti" a chiunque voglia traffico che non sembri uscito da un data center.

Per chi ha comprato il box la questione è molto concreta. Scraping, prove di password rubate, bot per i biglietti e tentativi di truffa lasciano l'indirizzo pubblico dell'abitazione nei log di chi subisce l'attacco. Le conseguenze arrivano dopo e sembrano scollegate: CAPTCHA continui, servizi bloccati, account sospesi, lettere del provider. Lo stesso schema è emerso nella rete NetNut costruita su due milioni di dispositivi violati, smantellata da FBI e Google a luglio.

Approfondimento: l'FBI, l'IRS e Google smantellano la botnet di proxy residenziali NetNut.

Come controllare un box che è già in casa

Google ha confermato che i dispositivi in questione non sono certificati Play Protect, cioè non hanno mai superato i test di compatibilità e sicurezza di Android. Né Bitsight né la stampa stabiliscono chi abbia installato le app e in quale punto della catena di fornitura siano comparse, e non esiste un elenco completo dei modelli coinvolti.

• Verificare la certificazione: Google pubblica l'elenco dei dispositivi Android TV certificati Play Protect; un box che non compare non ha alcuno storico di test di sicurezza.
• Guardare il traffico, non lo schermo: il sintomo più chiaro è un apparecchio che continua a trasmettere quando nessuno sta guardando. Lo mostrano le statistiche del router o l'app dell'operatore.
• Aggiornare il firmware solo dal canale ufficiale del produttore, e togliere dalla rete i dispositivi che non ricevono aggiornamenti.
• Trattare come sospetto l'hardware con "contenuti gratis". Dopo campagne precedenti il consiglio dell'FBI era netto: passare in rassegna i dispositivi collegati, scollegare quelli dubbi e diffidare dei box senza marchio venduti con la promessa della televisione gratuita.

Cosa cambia nell'igiene della rete domestica

La lezione utile di Fuyao è che la reputazione di una rete domestica la decide il suo dispositivo più debole. Un kit per la privacy che copre portatile e telefono mentre un box senza marca spinge traffico ignoto dallo stesso indirizzo difende il perimetro sbagliato. I tunnel cifrati vanno tenuti per quello che sanno fare davvero: tenere la navigazione lontano dal provider e da chi gestisce il Wi-Fi pubblico. Quello che non possono fare è rispondere di hardware compromesso prima ancora di uscire dalla fabbrica. Isolare i dispositivi smart economici su una rete ospiti, o rimuoverli, fa più per l'indirizzo IP di casa di qualsiasi abbonamento.