Bạn đã trả ba mươi đô la cho một thiết bị phát trực tuyến hứa hẹn “mọi thứ, không cần thuê bao”. Nó phát phim rất tốt. Nhưng theo nghiên cứu được Krebs on Security đưa tin, một nhóm trong số những TV box Android giá rẻ này còn có một nhiệm vụ thứ hai chạy ngầm: giả làm điện thoại di động, truy cập các trang web do AI tạo ra và nhấp vào quảng cáo để gian lận các nhà quảng cáo và người bán hàng trực tuyến — tất cả đều sử dụng kết nối Internet tại nhà và điện năng của bạn.
Các nhà nghiên cứu thực sự đã phát hiện gì
Nhà nghiên cứu mối đe dọa Pedro Falé của công ty bảo mật Bitsight đã có cơ hội hiếm hoi nhìn vào bên trong một trong những hoạt động này bằng cách đăng ký một tên miền hết hạn, trước đây từng được dùng để điều phối kế hoạch. Theo Krebs đưa tin, tên miền đó đã thu thập đầy đủ thông tin phần cứng và toàn bộ danh sách ứng dụng được cài đặt từ hàng chục nghìn thiết bị phát trực tuyến — cụ thể là một thương hiệu phổ biến, được bán rộng rãi có tên H96 — đang cắm vào TV trên khắp thế giới. Khi Falé kiểm soát được tên miền, ông có thể nhìn thấy luồng lưu lượng vẫn tiếp tục đổ về đó: các thiết bị giả làm điện thoại di động và nhấp vào quảng cáo trên những trang web do AI tạo ra, như một phần của một mạng lưới gian lận quảng cáo lớn hơn.
Điều này tiếp nối một vấn đề mà các nhà nghiên cứu bảo mật đã cảnh báo trong nhiều năm đối với những TV box phát trực tuyến phổ thông, không có thương hiệu: nhiều thiết bị cũng hoạt động như “proxy dân cư”, bí mật cho người lạ thuê một phần kết nối Internet tại nhà của bạn, để lưu lượng của người khác — đôi khi hợp pháp, đôi khi không — trông như xuất phát từ địa chỉ của bạn. Hành vi nhấp quảng cáo mà Bitsight ghi nhận là một phiên bản cụ thể và chủ động hơn của cùng vấn đề nền tảng: chiếc box không chỉ nằm đó phát chương trình cho bạn, mà còn làm việc cho người khác, bằng tiền của bạn và trên địa chỉ IP của bạn.
Vì sao những chiếc box rẻ nhất có khả năng là đối tượng này
Không phải mọi thiết bị phát trực tuyến đều làm vậy. Mô hình mà các nhà nghiên cứu liên tục phát hiện chỉ gắn với một nhóm cụ thể: những chiếc Android box không có thương hiệu hoặc thương hiệu ít tên tuổi, thường được bán dưới dạng “cài sẵn đầy đủ” với mọi ứng dụng phát trực tuyến, chỉ trả một lần với giá thấp và không cần thuê bao. Mô hình kinh doanh đó chính là dấu hiệu nhận biết. Các nhà sản xuất phần cứng hợp pháp (Roku, Google, dòng Fire TV chính thức của Amazon) kiếm tiền từ thiết bị, cửa hàng ứng dụng hoặc phần chia dịch vụ — họ không cần một nguồn doanh thu thứ hai. Một chiếc box rẻ, làm được mọi thứ miễn phí mà vẫn phải sinh lời thì theo định nghĩa, đang được trả tiền bởi một ai đó không phải bạn. Gian lận quảng cáo và bán lại băng thông là hai cách mà các nhà nghiên cứu đã ghi nhận để điều đó xảy ra.
Những thiết bị này cũng thường bỏ qua chứng nhận Play Protect của Google, được xuất xưởng mà không có các bản cập nhật bảo mật thường xuyên và dựa vào các ứng dụng cài ngang từ những kho APK không chính thức thay vì Play Store — chính là kiểu đường cài đặt khiến việc gói kèm một mô-đun gian lận hoặc proxy ẩn cùng với trình phát đa phương tiện mà bạn thực sự muốn trở nên dễ dàng.
Năm bước kiểm tra bạn thực sự có thể tự thực hiện
Bạn không cần công cụ đặc biệt cho hầu hết các bước này — chỉ cần truy cập trang quản trị bộ định tuyến và menu cài đặt của chiếc box.
- Kiểm tra tên model. Hãy nhìn trên chính chiếc box hoặc màn hình cài đặt/giới thiệu để xem thương hiệu. H96 là model được nêu đích danh trong nghiên cứu của Bitsight; nếu bạn đang sở hữu đúng model đó, hãy xem phần còn lại của danh sách này là việc khẩn cấp chứ không phải tùy chọn. Những Android box trông generic được mua trên các sàn như danh sách của bên bán thứ ba trên Amazon, AliExpress hoặc eBay, dưới những tên thương hiệu bạn không nhận ra, cũng cần được xem xét kỹ như vậy.
- Xem mức sử dụng dữ liệu theo từng thiết bị trong bảng quản trị bộ định tuyến. Hầu hết bộ định tuyến gia đình (và tất cả hệ thống mesh) đều hiển thị mức sử dụng dữ liệu được tách theo từng thiết bị đã kết nối. Một thiết bị phát trực tuyến sẽ có hoạt động tải xuống cao khi bạn thực sự đang xem nội dung nào đó và gần như không có hoạt động vào thời gian còn lại. Lưu lượng tải lên liên tục, hoặc bất kỳ lưu lượng nào khi TV đã tắt và không có gì đang phát, đều đáng để điều tra.
- Mở danh sách ứng dụng đã cài đặt. Trên các Android TV box, mục này thường nằm trong Cài đặt > Ứng dụng > Xem tất cả ứng dụng, và cũng sẽ hiển thị các ứng dụng hệ thống. Hãy tìm bất cứ thứ gì bạn không nhận ra và không cài đặt — tên chung chung, biểu tượng trống hoặc các ứng dụng có những quyền (như quyền truy cập mạng) không phù hợp với chức năng mà chúng tự nhận là có.
- Lưu ý cách bạn thiết lập chiếc box ngay từ đầu. Nếu thiết bị được cài sẵn một “cửa hàng ứng dụng” của bên thứ ba thay vì Google Play Store, hoặc bạn được hướng dẫn cài ngang một APK từ liên kết hay mã QR trong sách hướng dẫn của box để các ứng dụng phát trực tuyến hoạt động, thì đó chính là con đường phân phối mà nghiên cứu mô tả là được dùng để đưa các mô-đun gian lận vào thiết bị.
- Để ý các dấu hiệu hoạt động khi không có gì đang phát. Một chiếc box nóng khi chạm vào, có quạt quay hoặc có đèn hoạt động nhấp nháy đều đặn khi màn hình tắt và không có ứng dụng nào mở thì đang thực hiện một việc gì đó. Hoàn toàn có thể đó chỉ là hoạt động vô hại (cập nhật nền), nhưng nếu đi kèm bất kỳ dấu hiệu nào ở trên, đó là lý do để xem xét kỹ hơn.
Nếu bạn phát hiện điều gì đó
Đừng chỉ dừng lại ở việc gỡ cài đặt một ứng dụng trông đáng ngờ. Hành vi mà các nhà nghiên cứu mô tả thường được tích hợp vào lớp đo từ xa và lớp hệ thống của thiết bị, chứ không nằm trong một ứng dụng duy nhất mà bạn có thể xóa — vì vậy việc khôi phục cài đặt gốc ngay trên chiếc box có thể không xóa được nó, bởi hình ảnh khôi phục có thể chính là phần mềm firmware bị xâm phạm đã được cài sẵn khi xuất xưởng. Cách khắc phục đáng tin cậy là ngừng sử dụng thiết bị: rút điện, ngắt kết nối khỏi Wi-Fi (hãy đổi mật khẩu Wi-Fi nếu bạn không chắc có thể buộc thiết bị ngắt kết nối bằng cách khác), và thay thế bằng phần cứng của một thương hiệu phổ biến.
Nên mua gì thay thế
Bạn không cần phải chi nhiều hơn để tránh nhóm rủi ro này — bạn cần mua từ một công ty có mô hình kinh doanh không phụ thuộc vào một nguồn thu nhập thứ hai ẩn giấu. Các thiết bị Roku, Amazon Fire TV, Google TV/Chromecast và Apple TV chính thức đều có hình thức phân phối qua cửa hàng ứng dụng tiêu chuẩn và trách nhiệm rõ ràng từ nhà cung cấp, điều mà những chiếc box không thương hiệu “cài sẵn đầy đủ” không có. Nếu một ưu đãi quảng cáo quyền truy cập miễn phí vào mọi dịch vụ phát trực tuyến chỉ với một khoản tiền thấp trả một lần và không cần thuê bao, hãy đặt câu hỏi hiển nhiên mà nghiên cứu liên tục đưa ra câu trả lời: nếu bạn không trả bằng tiền, vậy bạn đang trả bằng thứ gì?
