Если вы в последнее время присматривались к стриминговым приставкам, то наверняка видели их: безымянные Android TV-боксы с названиями вроде H96, T95 или X96, которые продаются за треть цены Roku или Chromecast, часто с характеристиками, звучащими неправдоподобно хорошо для такой цены. Прежде чем покупать, стоит задуматься об этом разрыве, потому что исследователи недавно наглядно показали, за счёт чего некоторые из этих устройств компенсируют разницу — и дело тут не в более скромной марже.

Компания по кибербезопасности Bitsight изучила одно такое семейство устройств, H96, после того как исследователь Педро Фале зарегистрировал просроченный домен, на который боксы всё ещё продолжали «звонить домой». Как сообщает Krebs on Security, он обнаружил крупную сеть рекламного мошенничества: устройства втайне выдавали себя за совершенно другие телефоны — ложно представляясь смартфонами Samsung, Vivo, Huawei и Xiaomi — и использовали эту поддельную идентичность, чтобы кликать по рекламе на сайтах, созданных ИИ. В результате обманываются рекламодатели и продавцы, которые платят за показы и клики по рекламе, никогда не совершённые реальным человеком с реального телефона. И это помимо уже известного риска, характерного для этой категории устройств: некоторые из них использовались, чтобы незаметно сдавать в аренду третьим лицам домашнее интернет-соединение владельца, превращая ваш домашний IP-адрес в прокси, через который посторонние пропускают собственный трафик — трафик, который вы никак не можете увидеть или проверить.

Почему именно дешёвые

Экономика объясняет такое поведение. Легитимное устройство Android TV — Chromecast, Nvidia Shield, официальный бокс Google TV или Fire TV — оценивается так, чтобы зарабатывать на самом оборудовании, магазине приложений или экосистеме подписок, и проходит сертификацию у производителя, прежде чем поступить в продажу. Безымянному боксу, продающемуся за долю этой цены и не имеющему за собой узнаваемой компании, приходится зарабатывать свою маржу где-то ещё. Если цена продажи правдоподобно не покрывает производство, доставку и прибыль, значит монетизация происходит уже после продажи чем-то другим — и ваша пропускная способность сети и идентификатор устройства оказываются очевидными кандидатами, поскольку они одновременно невидимы для вас и ценны для операторов рекламного мошенничества и аренды прокси.

Что проверить перед покупкой

  • Ищите настоящего производителя, который несёт ответственность. Устройства Google TV, Roku, Amazon Fire TV, Nvidia Shield и Chromecast привязаны к компании, которая проходит сертификацию и рискует собственной репутацией. У бокса, продающегося только под общим номером модели (H96, T95, MXQ, X96 и подобные) через сторонние торговые площадки, нет ни того, ни другого.
  • Проверьте наличие сертификации Google Play Protect. Google ведёт список Android-устройств, прошедших тестирование на совместимость и безопасность Play Protect — номер модели можно проверить ещё до покупки. Несертифицированное устройство вообще не проходило никакой проверки, а это существенный пробел для гаджета, круглосуточно подключённого к вашей сети.
  • Читайте отзывы, обращая внимание на нужные жалобы. Прежде чем исследователи поймают устройство за вредоносными действиями, владельцы часто первыми замечают побочные эффекты: необъяснимый нагрев, устройство, которое, кажется, никогда не «спит», или неожиданно высокий расход трафика для того, что должно «просто транслировать видео». Ищите точный номер модели вместе со словами вроде «расход трафика», «постоянно включён» или «прокси» до покупки, а не после.

Что проверить, если он уже у вас есть

  • Загляните в список устройств роутера ночью. Большинство домашних роутеров показывают объём трафика по каждому подключённому устройству. Проверьте, чем занимается стриминговый бокс в три часа ночи, когда никто ничего не смотрит. Стабильный исходящий трафик — или вообще любой трафик — от устройства, которое должно простаивать, это тревожный сигнал, который стоит проверить.
  • Следите, с кем оно «общается». Если ваш роутер поддерживает журналы соединений, или вы используете что-то вроде Pi-hole или аналогичный инструмент для логирования DNS-запросов, обращайте внимание, не обращается ли бокс постоянно к незнакомым или регулярно меняющимся доменам вместо небольшого набора адресов стриминговых сервисов, которых вы бы ожидали.
  • Вынесите его в отдельную сеть. Большинство домашних роутеров поддерживают гостевую сеть, а на более продвинутом оборудовании — VLAN. Изоляция стриминговых боксов и других IoT-устройств от ваших телефонов, ноутбуков и файловых ресурсов ограничивает ущерб, если одно из них начнёт вести себя неподобающе — оно не сможет пропускать чужой трафик через устройства, которых не видит, а его компрометация не отдаёт злоумышленникам всю остальную сеть.

Если вы обнаружили что-то неладное

Надёжного способа «вылечить» устройство, прошивка которого изначально спроектирована так работать, не существует — сброс до заводских настроек не удалит поведение, зашитое в сам образ прошивки, а легитимного канала обновлений для исправления обычно тоже нет, ведь производитель сделал это намеренно. Реалистичные варианты — отключить устройство и перестать им пользоваться либо заменить его сертифицированным устройством от производителя, который несёт за него ответственность. Если оно какое-то время находилось в вашей основной сети, стоит также сменить пароль от Wi-Fi — на случай, если у него была возможность наблюдать за другими устройствами в той же сети или взаимодействовать с ними.

Более общая полезная привычка: воспринимайте неправдоподобно низкую цену на любое постоянно подключённое к сети устройство как повод задать вопрос, а не как выгодную сделку — потому что если вы не можете понять, за счёт чего оплачивается скидка, есть немалый шанс, что за счёт вас.

Источник: исследование Bitsight об Android TV-боксах H96, о котором сообщил Krebs on Security.