Zaplatili jste třicet dolarů za streamovací zařízení, které slibovalo „všechno, bez předplatného“. Filmy přehrává bez problémů. Podle výzkumu, o němž informoval Krebs on Security, však má jedna kategorie těchto levných Android TV boxů na pozadí ještě druhou úlohu: vydávat se za mobilní telefon, procházet weby generované umělou inteligencí a klikat na reklamy s cílem podvádět inzerenty a internetové prodejce — a to vše prostřednictvím vašeho domácího internetového připojení a za využití vaší elektřiny.

Co výzkumníci skutečně zjistili

Výzkumník v oblasti hrozeb Pedro Falé z bezpečnostní firmy Bitsight nahlédl do jedné z těchto operací poté, co zaregistroval doménu, jejíž platnost vypršela a která byla dříve používána ke koordinaci tohoto schématu. Tato doména, jak uvedl Krebs, shromažďovala kompletní údaje o hardwaru a celý seznam nainstalovaných aplikací z desítek tisíc streamovacích zařízení — konkrétně z oblíbené, široce prodávané značky H96 — připojených k televizorům po celém světě. Jakmile měl Falé doménu pod kontrolou, mohl sledovat provoz, který k ní stále proudil: zařízení se vydávala za mobilní telefony a v rámci rozsáhlejší sítě reklamních podvodů klikala na reklamy na webech generovaných umělou inteligencí.

Navazuje to na něco, před čím bezpečnostní výzkumníci už léta varují v souvislosti s generickými streamovacími boxy bez známé značky: mnohé z nich fungují také jako „rezidenční proxy“, tedy tajně pronajímají cizím lidem část vašeho domácího internetového připojení, takže provoz jiných lidí — někdy legitimní, někdy nikoli — vypadá, jako by pocházel z vaší adresy. Chování spočívající v klikání na reklamy, které zdokumentovala společnost Bitsight, je konkrétnější a aktivnější verzí téhož základního problému: box tam jen nepřehrává vaše pořady, ale zároveň pracuje pro někoho jiného, na vaše náklady a z vaší IP adresy.

Proč jsou pravděpodobnými kandidáty ty nejlevnější boxy

Ne každé streamovací zařízení to dělá. Vzorec, který výzkumníci opakovaně nacházejí, se týká konkrétní kategorie: neoznačených nebo málo známých Android boxů, obvykle prodávaných jako „plně vybavené“ se všemi streamovacími aplikacemi předinstalovanými, za nízkou jednorázovou cenu a bez předplatného. Právě tento obchodní model je varovným signálem. Legitimní výrobci hardwaru (Roku, Google, oficiální řada Fire TV od Amazonu) vydělávají na zařízení, ve svém obchodu s aplikacemi nebo podílem z poskytovaných služeb — nepotřebují druhý zdroj příjmů. Box, který je levný, všechno nabízí zdarma a přesto musí být ziskový, je z definice placen někým jiným než vámi. Dva způsoby, které výzkumníci zdokumentovali, jak k tomu dochází, jsou reklamní podvody a přeprodej přenosové kapacity.

Tato zařízení také často nemají certifikaci Google Play Protect, jsou dodávána bez pravidelných bezpečnostních aktualizací a spoléhají na instalaci aplikací z neoficiálních obchodů s APK namísto Obchodu Play — přesně takový způsob instalace usnadňuje přibalit k přehrávači médií, který jste skutečně chtěli, skrytý modul pro podvody nebo proxy.

Pět kontrol, které můžete skutečně provést

K většině z toho nepotřebujete žádné speciální nástroje — stačí přístup k administrační stránce routeru a k nabídce nastavení boxu.

  • Zkontrolujte název modelu. Podívejte se na samotný box nebo na obrazovku s nastavením či informacemi o zařízení a zjistěte značku. H96 je model výslovně uvedený ve výzkumu společnosti Bitsight; pokud takový vlastníte, považujte zbytek tohoto seznamu za naléhavý, nikoli volitelný. Stejnou pozornost si zaslouží genericky vypadající Android boxy zakoupené na tržištích, jako jsou nabídky třetích stran na Amazonu, AliExpress nebo eBay, pod značkami, které neznáte.
  • Podívejte se v administračním panelu routeru na využití dat jednotlivými zařízeními. Většina domácích routerů (a všechny mesh systémy) zobrazuje využití dat rozdělené podle připojených zařízení. Streamovací zařízení by mělo vykazovat vysoký objem stahovaných dat, když na něm právě něco sledujete, a po zbytek času téměř žádný provoz. Trvalý odchozí provoz nebo jakýkoli provoz v době, kdy je televizor vypnutý a nic se nepřehrává, stojí za prověření.
  • Otevřete seznam nainstalovaných aplikací. U Android TV boxů se obvykle nachází v nabídce Nastavení > Aplikace > Zobrazit všechny aplikace a zobrazí i systémové aplikace. Hledejte cokoli, co nepoznáváte a sami jste nenainstalovali — obecné názvy, prázdné ikony nebo aplikace s oprávněními (například k přístupu k síti), která neodpovídají tomu, co podle názvu dělají.
  • Vzpomeňte si, jak jste box původně nastavovali. Pokud byl dodán s předinstalovaným „obchodem s aplikacemi“ třetí strany namísto Obchodu Google Play nebo vám bylo řečeno, abyste pro zprovoznění streamovacích aplikací nainstalovali APK z odkazu či QR kódu v návodu k boxu, jde o stejný distribuční kanál, který podle popisu výzkumu sloužil k doručování modulů pro podvody.
  • Sledujte známky vytížení, když se nic nepřehrává. Box, který je na dotek teplý, má běžící ventilátor nebo u něj při vypnuté obrazovce a bez otevřené aplikace trvale blikají kontrolky aktivity, něco provádí. Může to být zcela neškodné (aktualizace na pozadí), ale v kombinaci s některým z výše uvedených příznaků je to důvod podívat se blíže.

Pokud něco najdete

Neskončete u odinstalování jedné podezřele vypadající aplikace. Chování, které výzkumníci popisují, je často zabudováno v telemetrii zařízení a systémové vrstvě, nikoli v jediné aplikaci, kterou lze odstranit — samotný reset boxu do továrního nastavení jej proto nemusí vymazat, protože obraz pro reset může být stejným kompromitovaným firmwarem, s nímž byl dodán. Spolehlivým řešením je zařízení přestat používat: odpojte ho ze zásuvky, odpojte ho od Wi-Fi (pokud si nejste jisti, že ho jinak dokážete vynutit k odpojení, změňte heslo k Wi-Fi) a nahraďte ho hardwarem od zavedené značky.

Co koupit místo něj

Abyste se tomuto typu rizika vyhnuli, nemusíte utratit o mnoho více — musíte nakupovat od společnosti, jejíž obchodní model nepotřebuje skrytý druhý zdroj příjmů. Oficiální zařízení Roku, Amazon Fire TV, Google TV/Chromecast a Apple TV používají standardní distribuci prostřednictvím obchodů s aplikacemi a podléhají odpovědnosti výrobce, což u bezejmenných „plně vybavených“ boxů neplatí. Pokud nabídka inzeruje bezplatný přístup ke všem streamovacím službám za jednorázovou nízkou cenu bez předplatného, položte si zjevnou otázku, na kterou výzkum stále znovu odpovídá: když za to neplatíte penězi, čím za to platíte?