Исследователи из норвежской компании Mnemonic сообщили, что несколько популярных приложений для Samsung Smart TV содержат код, который позволяет передавать интернет-соединение владельца посторонним пользователям. По их оценке, это может ставить под угрозу миллионы телевизоров Samsung.
По данным разработчиков приложений, часть таких программ установлена на сотнях миллионов устройств. В исследовании упоминается и простая игра Pac-Man, которую Samsung ранее продвигала в разделе Editor’s Choice на экранах телевизоров.
Речь идет о коде residential proxy networks, или resproxy. Такие системы направляют чужой веб-трафик через домашние и офисные подключения. Если пользователь запускает приложение с таким кодом, телевизор может стать постоянным каналом для передачи чужого трафика, даже после закрытия программы.
Mnemonic считает, что проблема связана с сочетанием нескольких факторов, из-за которых в магазине Samsung появляются слабоконтролируемые приложения. Многие из них представляют собой простые оболочки из нескольких строк кода, которые только загружают содержимое с внешнего сайта, например игру.
Из-за этого проверка приложения может видеть только минимальный локальный код, а не весь контент, который загружается позже. Как написал консультант Mnemonic по наступательной безопасности Харрисон Сэнд, «То, что было проверено, не обязательно является тем, что реально работает».
После запроса TechCrunch в Samsung заявили, что компания запрещает приложения, которые делятся интернет-соединением пользователей, и удалит программы с такой функцией. Представитель компании сказал: «Мы уже ограничили регистрацию новых приложений, которые включают такие прокси-функции, на нашей платформе Smart TV».
Он также добавил: «Сейчас мы вводим строгие правила для разработчиков на уровне всей платформы, прямо запрещающие SDK residential proxy, и работаем над тем, чтобы найти и удалить все приложения в нашем магазине, которые содержат такие компоненты».
Это произошло вскоре после аналогичного шага LG. В прошлом месяце компания сообщила, что будет запрещать приложения с resproxy-кодом после публикации данных, согласно которым около 42% приложений в магазине LG могли подключать Smart TV к прокси-сетям.
Исследование Mnemonic также показывает, как устроены такие сети изнутри. Подобный код встречается и в обычных мобильных приложениях, а также в другой потребительской электронике, включая цифровые фоторамки и Android-приставки.
Когда приложение или устройство с resproxy подключается к интернету, посторонний пользователь может заплатить за доступ к этому каналу. Сами по себе resproxy не запрещены: их используют, например, для обхода цензуры, а также для массового сбора данных из интернета, в том числе для обучения ИИ-моделей.
При этом ИБ-компании указывают, что такие сети часто используют хакеры и шпионы, чтобы скрывать вредоносную активность и проводить атаки или утечки данных через обычные домашние IP-адреса. Для защитных систем это особенно проблемно, потому что трафик выглядит как поток от обычного домохозяйства, а сам он, как правило, зашифрован.
Сэнд получил глубокий доступ к программной части телевизора Samsung после его рутирования и проанализировал весь входящий и исходящий трафик. Так он обнаружил, какие приложения делятся интернет-соединением телевизора с другими пользователями.
По его данным, в игре Pac-Man присутствовал resproxy-код компании Bright Data из Израиля. Компания предоставляет прокси-сети с доступом к миллионам домашних сетей по всему миру, а также управляет площадкой для продажи наборов данных, собранных через сеть выходных узлов.
Сэнд отметил, что код Bright Data загружался при запуске Pac-Man, но это не превращало телевизор автоматически в выходной узел. По его словам, код оставался неактивным, пока пользователь не соглашался с экраном согласия. После этого он начинал работать в фоновом режиме до удаления приложения.
Исследователь предупредил, что помимо явного согласия пользователя, «простое изменение кода на веб-сервере» может сразу активировать сотни миллионов телевизоров и превратить их в потенциально вредоносную бот-сеть.
Анализ трафика показал, что значительная его часть, по видимым признакам, использовалась для массового сбора профилей LinkedIn и данных для обучения ИИ. При этом Сэнд уточнил, что видел лишь небольшую долю того трафика, который проходил через сеть Bright Data.
Bright Data не ответила на запрос о комментарии.
Источник: TechCrunch, исследование Mnemonic.
