Como saber se a sua box de TV trabalha para estranhos
Uma box de streaming barata é o único aparelho da casa em que ninguém pensa. Fica atrás da televisão, nunca pede atualizações e tem o mesmo acesso à rede doméstica que o seu portátil. Os investigadores da Plume desmontaram a família SuperBox, boxes Android TV vendidas em grandes cadeias norte-americanas, e encontraram duas coisas ao mesmo tempo: a box está escancarada para qualquer um que esteja na sua rede, e parte das aplicações que traz de fábrica transforma em silêncio a sua ligação num ponto de saída alugado para tráfego de terceiros.
O que os investigadores encontraram de facto
- Depuração deixada ligada: o Android Debug Bridge fica à escuta por TCP na porta 5858 e aceita ligações de qualquer aparelho da rede local, sem pergunta e sem aprovação.
- Root sem palavra-passe: o binário su dá permissões de root sem autenticação, por isso tudo o que já esteja na rede assume o controlo total da box sem explorar uma única falha.
- Uma loja que salta todas as verificações: as aplicações instaladas a partir do catálogo próprio da box contornam a verificação de assinatura, o aviso de origens desconhecidas e a análise do Play Protect.
Tudo junto, isto nem sequer é uma vulnerabilidade no sentido habitual. Não há nada para explorar, porque não há nada trancado.
Como a box ganha dinheiro com a sua ligação
Dentro de uma das aplicações oferecidas por essa loja, a Cyberflix TV, a Plume encontrou um componente embutido chamado Popanet. Regista o aparelho como nó de uma rede comercial de proxies residenciais, envia a identidade do dispositivo, a localização, o operador, o tipo de rede e o ASN, e depois espera instruções para encaminhar tráfego de terceiros. Não durante uma sessão: por tempo indeterminado.
A escala numa única box merece atenção: dezenas de milhares de pedidos de ligação por dia, para milhares de destinos diferentes, coordenados por pelo menos 255 endereços de servidor verificados. Só na sua própria base de clientes, a Plume contou perto de 10 000 aparelhos destes.
Porque é que isto cai em cima de si e não do vendedor
As redes de proxies residenciais valem justamente porque o tráfego sai de uma morada doméstica normal. É esse o produto. Quando os investigadores intercetaram o que circulava mesmo por estas boxes, viram pedidos de gestão de contas de plataformas de jogos, códigos de verificação do WhatsApp do tipo usado para roubar uma conta em tempo real e tentativas deliberadas de contornar a proteção anti-bots da Cloudflare e da AWS.
Tudo isso sai para a internet com o seu endereço IP. Se alguém seguir o rasto do abuso, ele termina na sua casa, e o aparelho que o fez está sossegado atrás da televisão a passar filmes. Já contámos o mesmo esquema quando 120 000 caixas Android TV alugavam a ligação dos donos, e o padrão não muda: hardware barato, um SDK pré-instalado, tráfego dos outros.
Como verificar a box que já tem
- Procure a certificação. Na box: Definições, depois Acerca do dispositivo ou Play Store, e veja se existe a certificação Play Protect. Um aparelho não certificado significa que ninguém responde pelo firmware.
- Desligue a depuração. Definições, Opções de programador, e desative a depuração USB e qualquer depuração por rede. Se as opções de programador já estiverem desbloqueadas e não foi você, isso por si só é uma resposta.
- Veja o que está instalado. Tudo o que não instalou, e qualquer loja que não seja a Google Play, merece desconfiança. A Cyberflix TV é a aplicação citada pelo nome nesta investigação.
- Observe o tráfego quando nada está a ser reproduzido. Abra a lista de clientes do router e veja o consumo da box durante a noite. Um aparelho de streaming de onde ninguém está a ver nada devia estar praticamente calado.
- Faça uma verificação de portas a partir da sua própria rede. Se se sentir à vontade, veja se as portas 5555 ou 5858 respondem no endereço local da box. O que estiver à escuta ali é um comando à distância que qualquer pessoa na rede pode pegar. Aqui aplicam-se as mesmas verificações que denunciam um router a trabalhar para estranhos.
O que fazer se as respostas forem más
A solução limpa é deixar de usar a box. Trocar um aparelho não certificado por um certificado, ou pela aplicação integrada na própria televisão, elimina o problema em vez de o remendar. Se quiser mantê-la, o melhor a seguir é conter: pô-la na rede de convidados para que não veja os seus computadores nem o disco de rede, deixar a depuração desligada e nunca instalar nada a partir da loja dela.
Uma reposição de fábrica não resolve nada aqui. O componente de proxy vem com o software e não chega depois como uma infeção, por isso a reposição devolve a box exatamente ao estado que a investigação descreve.
