Se você andou procurando um streaming stick recentemente, já deve ter visto: caixas Android TV genéricas com nomes como H96, T95 ou X96, vendidas por um terço do preço de um Roku ou Chromecast, muitas vezes com especificações que soam boas demais para ser verdade pelo preço. Vale a pena parar para pensar nessa diferença antes de comprar, porque pesquisadores mostraram recentemente exatamente como alguns desses dispositivos compensam a diferença — e não é através de margens de lucro mais apertadas.

A empresa de segurança Bitsight investigou uma dessas famílias de dispositivos, a H96, depois que o pesquisador Pedro Falé registrou um domínio expirado para o qual as caixas ainda estavam se conectando. O que ele descobriu, conforme relatado pelo Krebs on Security, foi uma grande rede de fraude publicitária: os dispositivos se disfarçavam secretamente como telefones completamente diferentes — identificando-se falsamente como aparelhos Samsung, Vivo, Huawei e Xiaomi — e usando essa identidade falsa para clicar em anúncios em sites gerados por IA. O efeito é fraudar anunciantes e comerciantes que pagam por impressões e cliques em anúncios que nunca foram feitos por uma pessoa real em um telefone real. Isso se soma a um risco já conhecido dessa categoria de dispositivo: alguns têm sido usados para alugar secretamente a conexão de internet doméstica do proprietário a terceiros, transformando seu endereço IP residencial em um proxy pelo qual estranhos roteiam o próprio tráfego — tráfego sobre o qual você não tem nenhuma visibilidade nem capacidade de verificação.

Por que justamente os baratos

A economia explica o comportamento. Um dispositivo Android TV legítimo — um Chromecast, um Nvidia Shield, uma caixa oficial Google TV ou Fire TV — é precificado para gerar lucro com o hardware, a loja de aplicativos ou um ecossistema de assinaturas, e passa por um processo de certificação do fabricante antes de ser lançado no mercado. Uma caixa sem marca, vendida por uma fração desse preço, sem nenhuma empresa reconhecível por trás dela, precisa obter sua margem em outro lugar. Se o preço de venda não cobre plausivelmente a fabricação, o envio e um lucro, alguma outra coisa está sendo monetizada depois da venda — e a largura de banda da sua rede e a identidade do seu dispositivo são os candidatos óbvios, porque ambos são invisíveis para você e valiosos para operadores de fraude publicitária e aluguel de proxies.

O que verificar antes de comprar

  • Procure um fabricante real e responsável. Dispositivos Google TV, Roku, Amazon Fire TV, Nvidia Shield e Chromecast estão vinculados a uma empresa com um processo de certificação e uma reputação a perder. Uma caixa vendida apenas sob um número de modelo genérico (H96, T95, MXQ, X96 e similares) por meio de anúncios de terceiros em marketplaces não tem nenhum dos dois.
  • Verifique a certificação Google Play Protect. O Google mantém uma lista de dispositivos Android que passaram nos testes de compatibilidade e segurança do Play Protect — você pode pesquisar um número de modelo antes de comprar. Um dispositivo não certificado não passou por nenhuma verificação, o que é uma lacuna significativa para algo que permanece conectado à sua rede 24 horas por dia, 7 dias por semana.
  • Leia as avaliações em busca das reclamações certas. Antes que os pesquisadores flagrem um dispositivo fazendo algo malicioso, os proprietários geralmente percebem os efeitos colaterais primeiro: calor inexplicável, um dispositivo que nunca parece "dormir" ou um consumo de dados incomumente alto para algo que é "só streaming". Pesquise o número exato do modelo junto com palavras como "data usage", "always on" ou "proxy" antes de comprar, não depois.

O que verificar se você já tem um

  • Observe a lista de dispositivos do seu roteador durante a madrugada. A maioria dos roteadores domésticos mostra a largura de banda por dispositivo conectado. Verifique o que a caixa de streaming está fazendo às 3 da manhã, quando ninguém está assistindo a nada. Tráfego constante de upload, ou qualquer tráfego, vindo de um dispositivo que deveria estar ocioso é um sinal de alerta que vale a pena investigar.
  • Observe com quem ele está se comunicando. Se o seu roteador suportar registros de conexão, ou se você usar algo como o Pi-hole ou uma ferramenta similar de registro de DNS, verifique se a caixa está contatando repetidamente domínios desconhecidos ou que mudam constantemente, em vez do punhado de endpoints de serviços de streaming que você esperaria.
  • Coloque-o em uma rede separada. A maioria dos roteadores domésticos suporta uma rede de convidados ou, em hardware melhor, uma VLAN. Isolar caixas de streaming e outros dispositivos IoT dos seus telefones, laptops e compartilhamentos de arquivos limita o dano caso um deles se comporte mal — ele não consegue redirecionar tráfego por meio de dispositivos que não consegue ver, e um comprometimento nele não entrega o resto da sua rede.

Se você encontrar algo errado

Não existe uma forma confiável de "limpar" um dispositivo cujo firmware faz isso por design — uma restauração de fábrica não removerá um comportamento incorporado à própria imagem do firmware, e geralmente não há um canal de atualização legítimo para corrigi-lo, já que o fabricante o construiu assim de propósito. As opções realistas são desconectá-lo e parar de usá-lo, ou substituí-lo por um dispositivo certificado de um fabricante responsável. Se ele esteve na sua rede principal por um tempo, também vale a pena trocar sua senha de Wi-Fi depois, pela possibilidade de ele ter tido oportunidades de observar ou interagir com outros dispositivos na mesma rede.

O hábito mais amplo que vale a pena manter: trate um preço implausivelmente baixo em qualquer dispositivo sempre conectado como uma pergunta, não como uma pechincha — porque, se você não consegue identificar o que está pagando pelo desconto, há uma boa chance de que seja você.

Fonte: pesquisa da Bitsight sobre as caixas Android TV H96, relatada pelo Krebs on Security.