Un dispozitiv conectat la televizor poate permite infractorilor informatici să folosească, fără știrea proprietarului, conexiunea la internet a unei locuințe. Avertismentul îi privește și pe utilizatorii din Irlanda, unde aparatele cunoscute drept „dodgy boxes”, folosite frecvent pentru accesarea ilegală a canalelor și transmisiunilor sportive, sunt răspândite. Google a anunțat destructurarea unei rețele informatice care controla peste 1,3 milioane de asemenea dispozitive la nivel mondial.
Descoperirea este mai gravă decât simpla posibilitate de a urmări programe de televiziune fără abonament. Cercetătorii au identificat programe malițioase integrate în anumite aparate Android, care puteau instala alte aplicații fără acordul utilizatorului și transforma dispozitivele în instrumente pentru fraudă sau alte atacuri informatice.
Potrivit Irish Independent, printre produsele vizate se află și modele ale mărcii MECOOL, comercializate inclusiv pe internet și întâlnite pe piața irlandeză. Nu există însă o cifră publică verificată privind numărul exact al aparatelor infectate din Irlanda. Cele peste 1,3 milioane reprezintă o estimare globală a dispozitivelor compromise, nu a locuințelor irlandeze afectate.
Cum poate fi folosită conexiunea unei familii pentru fraude
Investigația publicată de Google Threat Intelligence Group descrie o rețea denumită XCPE. În centrul acesteia se afla o „ușă ascunsă” în software, care permitea controlarea de la distanță a unor aparate conectate la internet. În anumite modele, componenta malițioasă era introdusă în software-ul dispozitivului, iar alte programe periculoase puteau fi instalate după prima pornire.
Această diferență contează. Proprietarul putea cumpăra un aparat aparent funcțional, îl conecta la televizor și la rețeaua Wi-Fi, iar dispozitivul devenea ulterior parte a unei rețele controlate de terți. Utilizatorul nu trebuia neapărat să apese pe un link suspect sau să descarce voluntar o aplicație infectată.
Unul dintre mecanismele identificate permitea folosirea conexiunii la internet a unei locuințe ca intermediar pentru traficul altor persoane. Astfel, o activitate pornită de la un infractor putea să pară că provine de la adresa de internet a proprietarului aparatului. Dispozitivele compromise au fost folosite și pentru generarea de trafic publicitar fals și pentru distribuirea altor programe malițioase.
În termeni simpli, aparatul care ar trebui doar să redea filme sau meciuri putea lucra în paralel pentru altcineva. Acesta este motivul pentru care experții tratează problema ca pe un risc de securitate al locuinței, nu doar ca pe un caz de piraterie audiovizuală.
Google arată că unele componente ale sistemului puteau primi comenzi, executa operațiuni pe dispozitiv și examina rețeaua locală. Asta nu dovedește că fiecare telefon sau laptop conectat la același Wi-Fi a fost compromis. Înseamnă însă că un aparat nesigur din rețeaua domestică poate crea un punct de plecare pentru alte încercări de acces.
Cine se află în spatele rețelei și ce a făcut Google
Google atribuie cu un nivel ridicat de încredere dezvoltarea și exploatarea sistemului companiei chineze Videostrong Technology, producătoare de echipamente Android. Potrivit constatărilor companiei americane, accesul la dispozitivele compromise era oferit altor operatori, care instalau module pentru fraudă publicitară, redirecționarea traficului și alte activități. Este o atribuire tehnică formulată de Google, nu o condamnare penală.
Cercetarea a fost desfășurată cu sprijinul mai multor organizații specializate în securitate informatică, inclusiv Synthient, Trend Micro, Lumen și HUMAN Security, precum și al poliției japoneze. Google susține că programul periculos a fost dezvoltat și adaptat de-a lungul mai multor ani, astfel încât să evite mecanismele obișnuite de depistare.
Compania a luat măsuri legale împotriva domeniilor și serverelor prin care era controlată rețeaua XCPE. De asemenea, a întrerupt relația cu Videostrong și a exclus compania și entitățile sale afiliate de la producerea ori furnizarea de software pentru dispozitive Android certificate, în condițiile anunțate de Google.
Intervenția a vizat și infrastructura utilizată de alte programe malițioase. Google estimează că blocarea acesteia ar putea întrerupe accesul infractorilor la cel puțin încă zece milioane de dispozitive compromise, distinct de cele peste 1,3 milioane identificate în rețeaua XCPE. Nu înseamnă că toate aceste aparate au fost curățate de programele periculoase.
O problemă importantă rămâne faptul că unele componente malițioase erau stocate în zone de sistem ale dispozitivelor. Conform analizei Google, acestea puteau reapărea după repornire chiar și atunci când utilizatorul încerca să le elimine. Prin urmare, dezactivarea serverelor folosite de infractori nu este același lucru cu îndepărtarea completă a programelor periculoase de pe aparatele deja vândute.
Ce trebuie să verifice utilizatorii din Irlanda
În Irlanda, interesul pentru aceste dispozitive este mare. Irish Independent citează cercetări ale Audiovisual Anti-Piracy Alliance potrivit cărora aproximativ una din cinci locuințe utilizează un aparat de tip „dodgy box”. Această estimare descrie răspândirea echipamentelor pentru accesarea neautorizată a conținutului, nu proporția locuințelor infectate.
Este importantă și diferența dintre un dispozitiv Android TV obișnuit și unul compromis. Nu orice aparat care rulează Android este periculos, după cum nici toate produsele unei mărci nu trebuie considerate infectate fără verificarea modelului și a versiunii software. Investigația a identificat anumite produse și configurații, inclusiv aparate vândute sub numele MECOOL.
Pentru cine deține un dispozitiv suspect, măsura prudentă este deconectarea lui de la internet până la verificarea modelului și consultarea informațiilor producătorului sau ale cercetătorilor de securitate. În cazul aparatelor identificate ca făcând parte din rețeaua compromisă, specialiștii Synthient recomandă renunțarea definitivă la utilizarea lor.
Schimbarea parolei rețelei Wi-Fi poate fi utilă în unele situații, dar nu elimină software-ul periculos instalat în aparat. Nici revenirea la setările din fabrică nu garantează curățarea, dacă programul malițios se află în componentele sistemului care supraviețuiesc resetării. Utilizatorii ar trebui să verifice și actualizările disponibile pentru router, telefoane și calculatoare, precum și activitatea neobișnuită a conturilor personale.
Un aparat compromis nu implică automat că proprietarul a săvârșit vreo infracțiune. Pericolul descris de cercetători este tocmai folosirea conexiunii fără cunoștința sau consimțământul acestuia. Separat, utilizarea unor servicii care oferă fără autorizare transmisiuni protejate de drepturi de autor poate avea consecințe juridice în Irlanda.
În timp ce Google spune că a întrerupt infrastructura principală a rețelei XCPE și și-a înăsprit procedurile de verificare a producătorilor, dispozitivele deja comercializate pot rămâne în locuințe. Pentru proprietarii modelelor afectate, problema nu se rezolvă prin simplul fapt că imaginea de pe televizor continuă să funcționeze normal.
