Come capire se il vostro box TV lavora per altri
Un box per lo streaming economico è l'unico apparecchio di casa a cui nessuno pensa. Sta dietro il televisore, non chiede mai aggiornamenti e ha lo stesso accesso alla rete domestica del vostro portatile. I ricercatori di Plume hanno smontato la famiglia SuperBox, box Android TV venduti dalle grandi catene statunitensi, e hanno trovato due cose insieme: il box è spalancato per chiunque si trovi sulla vostra rete, e una parte delle app che porta di fabbrica trasforma in silenzio la vostra linea in un punto di uscita affittato per il traffico di altri.
Che cosa hanno trovato davvero i ricercatori
- Debug lasciato acceso: Android Debug Bridge resta in ascolto su TCP alla porta 5858 e accetta connessioni da qualsiasi dispositivo della rete locale, senza richiesta e senza conferma.
- Root senza password: il binario su concede i permessi di root senza autenticazione, quindi qualunque cosa sia già in rete prende il controllo completo del box senza sfruttare nemmeno una falla.
- Uno store che salta ogni controllo: le app installate dal catalogo interno del box aggirano la verifica della firma, l'avviso sulle origini sconosciute e la scansione di Play Protect.
Messo insieme, non è nemmeno una vulnerabilità nel senso consueto. Non c'è nulla da sfruttare, perché non c'è nulla di chiuso.
Come il box guadagna sulla vostra linea
Dentro una delle app offerte da quello store, Cyberflix TV, Plume ha trovato un componente incorporato chiamato Popanet. Registra il dispositivo come nodo di una rete commerciale di proxy residenziali, invia identità dell'apparecchio, posizione, operatore, tipo di rete e ASN, poi attende istruzioni per inoltrare traffico di terzi. Non per una sessione: a tempo indeterminato.
Vale la pena fermarsi sulla scala di un singolo box: decine di migliaia di richieste di connessione al giorno, verso migliaia di destinazioni diverse, coordinate tramite almeno 255 indirizzi di server verificati. Solo nella propria base clienti Plume ne ha contati quasi 10.000.
Perché ricade su di voi e non sul venditore
Le reti di proxy residenziali valgono proprio perché il traffico esce da un normale indirizzo di casa. È quello il prodotto. Quando i ricercatori hanno intercettato ciò che passava davvero da questi box, hanno visto richieste di gestione account di piattaforme di gioco, codici di verifica WhatsApp del tipo usato per rubare un account in tempo reale e tentativi deliberati di aggirare le protezioni anti-bot di Cloudflare e AWS.
Tutto questo esce in rete con il vostro indirizzo IP. Se qualcuno risale all'abuso, la traccia finisce in casa vostra, e l'apparecchio che l'ha fatto sta tranquillo dietro il televisore a mandare film. Lo stesso schema lo abbiamo già raccontato quando 120.000 box Android TV affittavano la linea dei proprietari, e il disegno non cambia: hardware economico, un SDK preinstallato, traffico altrui.
Come controllare il box che avete già
- Cercate la certificazione. Sul box: Impostazioni, poi Informazioni sul dispositivo o Play Store, e guardate se c'è la certificazione Play Protect. Un dispositivo non certificato significa che del firmware non risponde nessuno.
- Spegnete il debug. Impostazioni, Opzioni sviluppatore, poi disattivate il debug USB e qualsiasi debug via rete. Se le opzioni sviluppatore risultano già sbloccate e non siete stati voi, quella è già una risposta.
- Guardate che cosa è installato. Tutto ciò che non avete installato voi, e qualsiasi store diverso da Google Play, merita diffidenza. Cyberflix TV è l'app citata per nome in questa ricerca.
- Osservate il traffico quando non sta andando nulla. Aprite l'elenco dei dispositivi sul router e guardate i consumi del box durante la notte. Un apparecchio da streaming da cui nessuno sta guardando niente dovrebbe essere quasi muto.
- Scansionate il box dalla vostra stessa rete. Se ve la sentite, verificate se le porte 5555 o 5858 rispondono al suo indirizzo locale. Quello che è in ascolto lì è un telecomando che chiunque sulla rete può raccogliere. Qui valgono gli stessi controlli che smascherano un router al servizio di estranei.
Che fare se le risposte sono brutte
La soluzione pulita è smettere di usare il box. Sostituire un apparecchio non certificato con uno certificato, o con l'app integrata nel televisore stesso, elimina il problema invece di rattopparlo. Se volete tenerlo, la cosa migliore dopo è il contenimento: metterlo sulla rete ospiti perché non veda i vostri computer e il disco di rete, lasciare il debug spento e non installare mai nulla dal suo store.
Il ripristino di fabbrica qui non risolve. Il componente proxy arriva con il software e non dopo come infezione, quindi il ripristino riporta il box esattamente nello stato descritto dalla ricerca.
