Se avete fatto acquisti per una chiavetta streaming di recente, li avrete visti: box Android TV generici con nomi come H96, T95 o X96, venduti a un terzo del prezzo di un Roku o di un Chromecast, spesso con specifiche che suonano incredibilmente buone per il prezzo. Vale la pena soffermarsi su questo divario prima di comprare, perché i ricercatori hanno recentemente dimostrato esattamente come alcuni di questi dispositivi colmino la differenza — e non è attraverso margini di profitto più sottili.

L'azienda di sicurezza Bitsight ha indagato su una di queste famiglie di dispositivi, la H96, dopo che il ricercatore Pedro Falé ha registrato un dominio scaduto a cui i box continuavano a "telefonare a casa". Ciò che ha scoperto, come riportato da Krebs on Security, è stata una vasta rete di frode pubblicitaria: i dispositivi si spacciavano segretamente per telefoni completamente diversi — identificandosi falsamente come smartphone Samsung, Vivo, Huawei e Xiaomi — e usando questa identità fittizia per cliccare su annunci pubblicitari su siti web generati dall'IA. L'effetto è quello di truffare gli inserzionisti e i commercianti che pagano per impression e clic sugli annunci che non sono mai stati effettuati da una persona reale su un telefono reale. Questo si aggiunge a un rischio già noto per questa categoria di dispositivi: alcuni sono stati usati per affittare di nascosto la connessione internet domestica del proprietario a terzi, trasformando il vostro indirizzo IP residenziale in un proxy attraverso cui degli sconosciuti instradano il proprio traffico — traffico su cui non avete alcuna visibilità né alcuna possibilità di controllo.

Perché proprio quelli economici

L'economia spiega il comportamento. Un dispositivo Android TV legittimo — un Chromecast, un Nvidia Shield, un box Google TV o Fire TV ufficiale — è prezzato per generare profitto sull'hardware, sull'app store o su un ecosistema di abbonamenti, e passa attraverso un processo di certificazione del produttore prima di essere messo in vendita. Un box senza marchio venduto a una frazione di quel prezzo, senza alcuna azienda riconoscibile alle spalle, deve generare il proprio margine da qualche altra parte. Se il prezzo di vendita non copre in modo plausibile la produzione, la spedizione e un profitto, significa che qualcos'altro viene monetizzato dopo la vendita — e la vostra banda di rete e l'identità del vostro dispositivo sono i candidati più ovvi, perché sono entrambi invisibili a voi ma preziosi per chi opera frodi pubblicitarie e affitti di proxy.

Cosa controllare prima di comprare

  • Cercate un produttore reale e responsabile. I dispositivi Google TV, Roku, Amazon Fire TV, Nvidia Shield e Chromecast sono legati a un'azienda con un processo di certificazione e una reputazione da difendere. Un box venduto solo con un numero di modello generico (H96, T95, MXQ, X96 e simili) tramite inserzioni di marketplace di terze parti non ha nessuno dei due.
  • Verificate la certificazione Google Play Protect. Google mantiene un elenco di dispositivi Android che hanno superato i suoi test di compatibilità e sicurezza Play Protect — potete cercare un numero di modello prima di acquistare. Un dispositivo non certificato non è stato sottoposto ad alcun controllo, il che rappresenta una lacuna significativa per qualcosa che resta connesso alla vostra rete 24 ore su 24, 7 giorni su 7.
  • Leggete le recensioni cercando le lamentele giuste. Prima che i ricercatori scoprano che un dispositivo fa qualcosa di dannoso, spesso sono i proprietari a notare per primi gli effetti collaterali: calore inspiegabile, un dispositivo che non sembra mai andare in stop, o un consumo di dati insolitamente alto per qualcosa che dovrebbe "solo trasmettere in streaming". Cercate il numero di modello esatto insieme a parole come "consumo dati", "sempre acceso" o "proxy" prima di comprare, non dopo.

Cosa controllare se ne possedete già uno

  • Guardate l'elenco dei dispositivi del vostro router durante la notte. La maggior parte dei router domestici mostra la banda utilizzata da ogni dispositivo connesso. Controllate cosa sta facendo il box streaming alle 3 del mattino, quando nessuno sta guardando nulla. Traffico di upload costante, o traffico di qualsiasi tipo, proveniente da un dispositivo che dovrebbe essere inattivo è un segnale d'allarme da approfondire.
  • Osservate con chi comunica. Se il vostro router supporta i log delle connessioni, oppure usate qualcosa come Pi-hole o uno strumento simile di logging DNS, cercate segnali del box che contatta ripetutamente domini sconosciuti o in continua rotazione, invece della manciata di endpoint dei servizi di streaming che vi aspettereste.
  • Mettetelo su una rete separata. La maggior parte dei router domestici supporta una rete ospiti oppure, su hardware più avanzato, una VLAN. Isolare i box streaming e altri dispositivi IoT dai vostri telefoni, laptop e condivisioni file limita i danni nel caso in cui uno di essi si comporti in modo scorretto — non può instradare traffico attraverso dispositivi che non può vedere, e una compromissione al suo interno non consegna il resto della vostra rete.

Se trovate qualcosa che non va

Non esiste un modo affidabile per "ripulire" un dispositivo il cui firmware fa questo di proposito — un ripristino alle impostazioni di fabbrica non rimuoverà un comportamento incorporato nell'immagine stessa del firmware, e di solito non c'è alcun canale di aggiornamento legittimo per risolverlo, dato che il produttore lo ha costruito così intenzionalmente. Le opzioni realistiche sono scollegarlo e smettere di usarlo, oppure sostituirlo con un dispositivo certificato di un produttore responsabile. Se è rimasto collegato alla vostra rete principale per un po', vale anche la pena cambiare la password del Wi-Fi in seguito, nel caso avesse avuto occasione di osservare o interagire con altri dispositivi sulla stessa rete.

L'abitudine più generale da mantenere: trattate un prezzo incredibilmente basso su qualsiasi dispositivo sempre connesso come una domanda, non come un affare — perché se non riuscite a capire chi sta pagando per lo sconto, c'è una buona probabilità che siate voi.

Fonte: ricerca Bitsight sui box Android TV H96, riportata da Krebs on Security.