Исследователи норвежской компании Mnemonic выяснили: ряд популярных приложений для Samsung Smart TV содержит код, который передаёт интернет-соединение владельца посторонним. Под угрозой — миллионы телевизоров.
По заявлениям самих разработчиков, некоторые из этих приложений установлены на сотнях миллионов устройств. Одно из них — простая игра Pac-Man, которую Samsung сама рекомендовала в разделе «Выбор редакции».
Речь идёт о резидентных прокси-сетях (resproxy). Открыв такое приложение, пользователь превращает телевизор в постоянно доступный выходной узел для чужого трафика — причём соединение сохраняется и после закрытия программы.
Проблема усугубляется тем, что многие приложения — это пустые «оболочки» из нескольких строк кода, которые лишь подгружают контент со стороннего сайта. Проверка магазина видит только эти строки, но не сам контент.
«То, что проверили, — не обязательно то, что запускается», — пишет консультант по наступательной безопасности Mnemonic Харрисон Санд.
После обращения TechCrunch Samsung заявила, что запрещает подобные приложения. Компания уже ограничила регистрацию новых программ с прокси-функциями и вводит правила, прямо запрещающие resproxy-SDK.
Представитель Samsung добавил, что компания ищет и удаляет из магазина все приложения с такими компонентами. Месяцем ранее аналогичный запрет ввела LG — там прокси-код нашли примерно в 42% приложений магазина.
Resproxy-код встречается не только в телевизорах: он есть в обычных мобильных приложениях, цифровых фоторамках и Android-приставках. Как только устройство выходит в сеть, посторонний может за деньги воспользоваться его каналом.
Сами по себе резидентные прокси не запрещены. Их используют для обхода цензуры, а ИИ-компании — для массового сбора данных при обучении моделей. Но у технологии сложилась репутация инструмента для хакеров и шпионов.
Специалистам трудно бороться с resproxy: трафик выглядит как запросы из обычного жилого дома, а не от злоумышленника за рубежом. К тому же он зашифрован, и разобрать его практически невозможно.
Санд получил root-доступ к Samsung Smart TV и проанализировал весь трафик. В игре Pac-Man обнаружился код израильской Bright Data — компании, продающей доступ к миллионам домашних сетей и к собранным датасетам.
Код загружался при запуске игры, но активировался только после согласия пользователя на экране разрешений. После этого он работал в фоне до удаления приложения.
По словам исследователя, «простое изменение кода на веб-сервере» способно мгновенно превратить сотни миллионов телевизоров в потенциально вредоносный ботнет.
В перехваченном трафике Санд увидел признаки массового сбора профилей LinkedIn и данных для обучения ИИ. При этом он подчеркнул, что наблюдал лишь малую долю проходящего через сеть Bright Data трафика. Компания на запрос комментария не ответила.