Tanie, markowe lub niemarkowe przystawki do telewizorów, które obiecują dostęp do nieograniczonej liczby treści za jednorazową opłatą, od lat budzą obawy ekspertów ds. bezpieczeństwa. Powodem nie jest wyłącznie niepewne pochodzenie oprogramowania. Tego rodzaju urządzenia mogą po cichu udostępniać domowe łącze internetowe nieznanym klientom usług proxy, a także wykonywać zadania zlecane przez operatorów sieci reklamowych. Nowa analiza firmy Bitsight wskazuje, że popularne urządzenia H96 miały być wykorzystywane również do fałszowania ruchu mobilnego i klikania reklam na stronach z treściami generowanymi przez sztuczną inteligencję.
Ślad prowadził przez wygasłą domenę
Pedro Falé, badacz zagrożeń z firmy Bitsight, uzyskał wgląd w działanie rozległej sieci, rejestrując wygasłą domenę używaną wcześniej do koordynowania fałszywych kliknięć. Domena była także wykorzystywana jako punkt telemetryczny. Okresowo zbierała pełne informacje o sprzęcie oraz listę wszystkich zainstalowanych aplikacji z dziesiątek tysięcy przystawek H96 podłączonych do telewizorów na całym świecie. Przejęcie domeny pozwoliło badaczowi obserwować ruch kierowany do infrastruktury, która wcześniej służyła do komunikacji z urządzeniami.
Zebrane dane ujawniły nietypową rozbieżność. Niemal wszystkie urządzenia H96 przesyłające informacje przedstawiały się jako modele telefonów komórkowych różnych producentów, między innymi Samsung, Vivo, Huawei i Xiaomi. Według Falé urządzenia były w rzeczywistości fabrycznymi przystawkami z systemem Android TV, ale raportowały dane charakterystyczne dla smartfonów. Taki mechanizm pozwalał dopasować ruch z telewizorów do kampanii reklamowych przeznaczonych dla użytkowników urządzeń mobilnych.
Badacz ustalił, że wszystkie analizowane urządzenia miały zainstalowane te same dwie aplikacje. Ich twórcą miała być Zhejiang Fengwo IoT Technology Ltd, firma założona w 2019 roku w Chinach kontynentalnych, działająca w branży publikowania reklam pod nazwą Fengwo Group. Dalsze sprawdzenie działalności grupy wykazało, że zarejestrowała ona kilka patentów odpowiadających sposobowi działania analizowanych aplikacji.
- Urządzenia H96 przekazywały telemetryczne informacje o sprzęcie i zainstalowanych aplikacjach.
- Przystawki zgłaszały się jako telefony Samsung, Vivo, Huawei lub Xiaomi, mimo że były urządzeniami Android TV.
- Dwie aplikacje znalezione na urządzeniach zostały powiązane przez Bitsight z Zhejiang Fengwo IoT Technology Ltd.
- Według raportu infrastruktura służyła do koordynowania zadań związanych z ruchem reklamowym.
W raporcie Bitsight wskazano również na kilka elementów infrastruktury łączących działalność z Fengwo Group. Analitycy zidentyfikowali podmioty prawne z Hongkongu i Singapuru oraz pojedyncze osoby występujące jako formalni właściciele lub odbiorcy przychodów. Ślady miały prowadzić do Zhejiang Fengwo IoT Technology Co., Ltd. Powiązania obejmowały między innymi dane certyfikatów SSL używanych przez domenę grupy oraz inne domeny związane z aplikacjami obecnymi na urządzeniach H96.
Strony generowane przez AI czekały na odpowiedni ruch
Według analizy aplikacje koordynowały sieć oszustw reklamowych, wykorzystując przystawki H96 jako źródło ruchu. Urządzenia odwiedzały strony internetowe prowadzone przez Fengwo Group, a następnie wykonywały na nich określone czynności. Bitsight znalazł w tych serwisach automatycznie generowane artykuły i grafiki z wielu kategorii, takich jak finanse, zdrowie, edukacja, gry, muzyka i blogi kulinarne.
Sama obecność reklamy zależała jednak od profilu urządzenia odwiedzającego stronę. Analitycy zauważyli, że serwisy nie wyświetlały reklam, jeśli odwiedzający nie pasował do sfałszowanego profilu telefonu używanego przez przystawki H96. Oznacza to, że infrastruktura mogła selekcjonować ruch i uruchamiać mechanizm monetyzacji tylko wtedy, gdy urządzenie spełniało określone kryteria. Dla reklamodawców i sieci reklamowych taki ruch mógł wyglądać jak aktywność użytkownika mobilnego, choć w rzeczywistości pochodził z telewizora.
Domena Fengwo Group, fwgcloud.com, przedstawiała firmę jako podmiot rozwijający rozwiązania na styku człowieka i sztucznej inteligencji. Strona deklarowała stworzenie ponad 120 tysięcy cyfrowych postaci AI, które można wynajmować między innymi do towarzystwa emocjonalnego, całodobowej obsługi klienta i projektowania kreatywnego. Bitsight ocenił jednak, że liczba ta może być elementem marketingu albo sposobem na odwrócenie uwagi od faktycznej działalności. W raporcie zaznaczono, że podobne niepozorne wizerunki były wcześniej spotykane przy usługach proxy i infrastrukturze używanej do ataków DDoS. Nie przesądza to samo w sobie o rzeczywistej liczbie urządzeń lub agentów pozostających pod kontrolą grupy.
Automatyzacja bez potrzeby pisania całego kodu
Jednym z ciekawszych ustaleń Bitsight było odnalezienie wewnętrznej platformy wiki powiązanej z Fengwo Group. Materiały miały łączyć grupę z własną implementacją Blockly, wizualnego języka programowania stworzonego przez Google. Blockly pozwala budować procedury przez układanie bloków kodu w edytorze. W opisanym zastosowaniu operator mógł definiować zadanie, łącząc gotowe elementy, a następnie zapisywać procedurę, która była eksportowana do JavaScriptu i przesyłana do zasobników S3.
Taki model ograniczał wymagania wobec osób obsługujących system. Z ustaleń raportu wynika, że tylko niewielka grupa wysoko wykwalifikowanych programistów musiała przygotować szablony jednostek wykonawczych. Pozostali pracownicy mogli tworzyć kolejne procedury na ich podstawie, bez pełnego rozumienia technicznych szczegółów działania poszczególnych bloków. Według wypowiedzi jednego z deweloperów cytowanej w analizie miało to obniżać wymagania techniczne i koszty operacyjne firmy.
Jeżeli konkretna przystawka H96 została wybrana do wykonania zadania, otrzymywała odpowiedni moduł Blockly. Lista możliwych czynności obejmowała między innymi ciche uruchomienie przeglądarki, otwieranie stron, przeglądanie podstron, zarządzanie kartami i klikanie reklam. Bitsight ustalił także, że grupa łączyła trzy systemy rozpoznawania obrazu i wnioskowania w jeden interfejs. Miało to pomóc automatom odnajdywać reklamy na stronie i poruszać się po niej w sposób przypominający zachowanie człowieka.
To samo urządzenie mogło pełnić dwie role
Bitsight zaobserwował, że urządzenia H96 działały albo jako przekaźniki residential proxy, albo jako źródło ruchu do oszustw reklamowych. W analizowanym okresie nie wykonywały obu zadań jednocześnie. Przystawka zwykle pełniła funkcję proxy, gdy wykrywała sygnał HDMI z podłączonego telewizora. Taki sygnał wskazywał, że użytkownik zamierza oglądać treści. Gdy telewizor był wyłączony, urządzenie wracało do oczekiwania na zadania związane z ruchem reklamowym.
Według Falé przyczyną takiego podziału mogły być wymagania obu funkcji. Działania związane z oszustwami reklamowymi były bardziej obciążające dla urządzenia i mogły zakłócać podstawową funkcję przystawki, czyli przesyłanie wideo przez internet. Przełączanie trybów pozwalało więc utrzymywać urządzenie w gotowości do wykonania zadań, a jednocześnie ograniczać wpływ tej aktywności na korzystanie z telewizora. Jest to opis obserwowanego przez badaczy mechanizmu, a nie informacja o konfiguracji każdego egzemplarza H96.
Bitsight naliczył około 38 tysięcy przystawek komunikujących się na całym świecie z wygasłą domeną Fengwo Group. Na tej podstawie raport oszacował przychody z sieci oszustw reklamowych na blisko 50 tysięcy dolarów dziennie. Autorzy podkreślili jednak, że jest to ostrożne oszacowanie oparte na telemetrii tylko jednej, starszej domeny należącej do infrastruktury grupy. Kwota nie obejmuje potencjalnych przychodów z działalności residential proxy, a rzeczywista skala operacji może być większa niż wynika z tego pojedynczego źródła danych.
Ryzyko dotyczy także domowego łącza
Problem z tego rodzaju urządzeniami nie ogranicza się do fałszywych kliknięć. Eksperci ds. bezpieczeństwa oraz FBI od lat ostrzegają, że niemarkowe przystawki często mają fabrycznie zainstalowane oprogramowanie residential proxy. Usługa tego typu udostępnia adres internetowy właściciela urządzenia anonimowym, płacącym klientom. Mogą to być firmy zajmujące się intensywnym pobieraniem treści, osoby próbujące omijać ograniczenia przy zakupie biletów, a także cyberprzestępcy.
W praktyce oznacza to, że aktywność prowadzona przez obcego użytkownika może wyglądać z zewnątrz tak, jakby pochodziła z domowego lub firmowego łącza właściciela przystawki. Dodatkowym problemem jest stan zabezpieczeń tanich urządzeń. Według materiału źródłowego wiele z nich jest domyślnie bardzo słabo chronionych i nie ma odpowiednich mechanizmów uwierzytelniania. Podłączenie takiego sprzętu do sieci domowej lub biurowej zwiększa więc powierzchnię ryzyka, nawet jeśli użytkownik korzysta z niego wyłącznie do oglądania treści.
W styczniu usługa monitorująca serwisy proxy, Synthient, opisała przypadki szybkiego przejmowania milionów przystawek telewizyjnych przez botnety. Według tego opisu wykorzystywano złożone połączenie luk w oprogramowaniu residential proxy oraz podatności samych urządzeń streamingowych. Materiał nie wskazuje, że każda przystawka H96 została przejęta przez botnet, ale pokazuje, że połączenie nieoficjalnego systemu, dodatkowych aplikacji i słabych ustawień może prowadzić do wielu niezależnych nadużyć.
- Residential proxy może udostępniać adres internetowy gospodarstwa domowego anonimowym klientom.
- Przystawka może wykonywać obce zadania w tle, nawet gdy użytkownik traktuje ją wyłącznie jako odtwarzacz multimedialny.
- Słabe zabezpieczenia i brak właściwego uwierzytelniania zwiększają ryzyko wykorzystania urządzenia.
- Podobne oprogramowanie znajdowano także w innych urządzeniach IoT, w tym w cyfrowych ramkach do zdjęć.
Jak ograniczyć ryzyko przy zakupie przystawki
Wnioski z analizy Bitsight są przede wszystkim ostrzeżeniem przed przypadkowymi urządzeniami sprzedawanymi jako tani sposób na dostęp do wielu usług streamingowych i transmisji na żywo bez abonamentu. Takie modele są dostępne na dużych platformach handlowych, między innymi w ofercie Amazon, Best Buy i Newegg. Ich obecność w sprzedaży nie jest jednak równoznaczna z potwierdzeniem bezpieczeństwa oprogramowania. Część urządzeń korzysta z nieoficjalnych wersji systemu Android, a ich promocja odbywa się także za pośrednictwem internetowych influencerów.
Bezpieczniejszym wyborem jest sprzęt znanego producenta, z oficjalnym systemem Android TV i certyfikacją Play Protect. Google udostępnia instrukcje pozwalające sprawdzić, czy urządzenie korzysta z oficjalnego systemu oraz czy ma odpowiednią certyfikację. Warto również ostrożnie podchodzić do aplikacji instalowanych na przystawce, ponieważ według materiału źródłowego także one mogą zawierać oprogramowanie residential proxy. Przydatnym punktem odniesienia jest prowadzona przez Synthient lista urządzeń IoT, które były dostarczane z takim oprogramowaniem lub innymi złośliwymi aplikacjami.
KrebsOnSecurity zwrócił się do Fengwo Group z prośbą o komentarz, korzystając z adresu kontaktowego podanego na stronie firmy. Wiadomość nie została jednak dostarczona. System pocztowy zwrócił informację, że skrzynka odbiorcza jest pełna albo otrzymuje zbyt dużo wiadomości. W przedstawionej analizie nie ma więc stanowiska grupy odnoszącego się do ustaleń Bitsight.
Najważniejszy wniosek dla użytkownika jest prosty: przystawka podłączona do telewizora jest jednocześnie urządzeniem działającym w sieci lokalnej. Jeżeli pochodzi z niepewnego źródła, może nie tylko odtwarzać treści, lecz także przekazywać informacje telemetryczne, udostępniać łącze jako proxy albo wykonywać zdalne zadania związane z reklamami. Wybór certyfikowanego sprzętu, ograniczenie liczby instalowanych aplikacji i sprawdzenie pochodzenia systemu zmniejszają ryzyko, że domowe urządzenie zostanie wykorzystane do cudzej działalności.
