Вы заплатили тридцать долларов за стриминговую приставку, которая обещала «всё, без подписки». Фильмы она воспроизводит нормально. Но, согласно исследованию, о котором сообщил Krebs on Security, у одной категории таких дешёвых Android TV-боксов есть вторая задача, выполняемая в фоновом режиме: выдавать себя за мобильный телефон, просматривать сайты, созданные ИИ, и нажимать на рекламу, обманывая рекламодателей и интернет-магазины, — и всё это через ваше домашнее интернет-соединение и за счёт вашего электричества.

Что на самом деле обнаружили исследователи

Исследователь угроз Педру Фале из компании по кибербезопасности Bitsight получил редкую возможность заглянуть внутрь одной из таких операций, зарегистрировав просроченный домен, который ранее использовался для координации этой схемы. Как сообщил Krebs, этот домен собирал полную информацию об аппаратном обеспечении и весь список установленных приложений с десятков тысяч стриминговых приставок — в частности, популярной и широко продаваемой марки H96, подключённых к телевизорам по всему миру. Получив контроль над доменом, Фале смог увидеть, что трафик по-прежнему поступает на него: устройства выдавали себя за мобильные телефоны и нажимали на рекламу на сайтах, созданных ИИ, в рамках более крупной сети рекламного мошенничества.

Это продолжает то, о чём исследователи безопасности годами предупреждали применительно к универсальным стриминговым приставкам без известного бренда: многие из них также работают как «домашние прокси», тайно сдавая незнакомцам в аренду часть вашего домашнего интернет-соединения, чтобы трафик других людей — иногда законный, иногда нет — выглядел так, будто исходит с вашего адреса. Поведение, связанное с рекламными кликами, которое задокументировала Bitsight, представляет собой более конкретную и активную версию той же основной проблемы: приставка не просто бездействует, пока вы смотрите свои передачи, — она ещё и работает на кого-то другого, за ваш счёт и с вашего IP-адреса.

Почему наиболее дешёвые приставки — вероятные кандидаты

Так делают не все стриминговые устройства. Исследователи снова и снова обнаруживают одну и ту же закономерность, характерную для определённой категории: безымянные или малоизвестные Android-боксы, обычно продаваемые как «полностью укомплектованные» — со всеми приложениями для стриминга, предустановленными за небольшую разовую плату и без подписки. Такая бизнес-модель сама по себе выдаёт подвох. Легальные производители оборудования (Roku, Google, официальная линейка Fire TV компании Amazon) зарабатывают на устройстве, своём магазине приложений или доле от сервисов — им не нужен второй источник дохода. Приставка, которая дёшево стоит, бесплатно делает всё необходимое и при этом должна приносить прибыль, по определению оплачивается кем-то, кроме вас. Рекламное мошенничество и перепродажа пропускной способности — два способа, которыми исследователи документально подтвердили получение такого дохода.

Кроме того, такие устройства часто не проходят сертификацию Google Play Protect, поставляются без регулярных обновлений безопасности и используют приложения, загруженные из неофициальных магазинов APK, вместо Play Store, — именно такой способ установки позволяет легко добавить скрытый модуль мошенничества или прокси рядом с нужным вам медиаплеером.

Пять проверок, которые вы действительно можете выполнить

Для большей части этих проверок вам не нужны специальные инструменты — достаточно доступа к странице администрирования роутера и меню настроек приставки.

  • Проверьте название модели. Посмотрите на саму приставку или на экран настроек/сведений о ней, чтобы узнать бренд. H96 — модель, прямо названная в исследовании Bitsight; если у вас именно она, считайте остальные пункты этого списка срочными, а не необязательными. К безымянным на вид Android-боксам, купленным на маркетплейсах вроде Amazon у сторонних продавцов, AliExpress или eBay под незнакомыми вам названиями брендов, следует относиться с такой же тщательностью.
  • Посмотрите потребление данных по каждому устройству в панели администрирования роутера. Большинство домашних роутеров (и все mesh-системы) показывают объём данных отдельно для каждого подключённого устройства. Стриминговая приставка должна активно скачивать данные, пока вы действительно что-то смотрите, и почти ничего не передавать в остальное время. Постоянный исходящий трафик или вообще любой трафик, когда телевизор выключен и ничего не воспроизводится, заслуживает проверки.
  • Откройте список установленных приложений. На Android TV-боксах он обычно находится в разделе «Настройки» > «Приложения» > «Показать все приложения» и включает также системные приложения. Ищите всё, чего вы не узнаёте и не устанавливали, — приложения с общими названиями, пустыми значками или разрешениями (например, доступом к сети), которые не соответствуют заявленным функциям.
  • Вспомните, как именно вы изначально настраивали приставку. Если вместо Google Play Store на ней уже был установлен сторонний «магазин приложений» или вам сказали загрузить APK по ссылке или QR-коду из руководства к приставке, чтобы приложения для стриминга заработали, это тот же путь распространения, который, согласно исследованию, использовался для доставки модулей мошенничества.
  • Следите за признаками нагрузки, когда ничего не воспроизводится. Если приставка тёплая на ощупь, у неё вращается вентилятор или индикаторы активности постоянно мигают, когда экран выключен и ни одно приложение не открыто, значит, она что-то делает. Возможно, это совершенно безобидно (например, фоновые обновления), но в сочетании с любым из перечисленных выше признаков это повод присмотреться внимательнее.

Если вы что-то обнаружили

Не ограничивайтесь удалением одного подозрительно выглядящего приложения. Описанное исследователями поведение часто встроено в телеметрию устройства и системный уровень, а не в одно приложение, которое можно удалить, — поэтому сброс самой приставки к заводским настройкам может не помочь, поскольку образ для сброса может содержать ту же скомпрометированную прошивку, с которой она поставлялась. Надёжное решение — прекратить пользоваться устройством: отключить его от сети, отсоединить от Wi-Fi (если вы не уверены, что иначе сможете принудительно отключить его, смените пароль Wi-Fi) и заменить оборудованием известного производителя.

Что купить вместо этого

Чтобы избежать такого риска, не обязательно тратить намного больше — нужно покупать устройство у компании, чья бизнес-модель не требует скрытого второго источника дохода. Официальные устройства Roku, Amazon Fire TV, Google TV/Chromecast и Apple TV используют стандартное распространение через магазины приложений и предполагают ответственность производителя, чего нет у безымянных боксов «со всем предустановленным». Если в рекламе обещают бесплатный доступ ко всем стриминговым сервисам за небольшую разовую плату и без подписки, задайте очевидный вопрос, на который исследование снова и снова даёт ответ: если вы не платите за это деньгами, чем же вы за это платите?