Vous branchez un boîtier de streaming à votre téléviseur et pensez que sa connexion Internet sert uniquement à télécharger des applications et regarder des vidéos. Sur certains appareils étudiés par des chercheurs en cybersécurité, la connexion du foyer peut pourtant être utilisée pour faire transiter le trafic de parfaits inconnus.
Plume Security Labs a documenté ce comportement sur des boîtiers Android SuperBox, notamment lorsqu’ils utilisent l’application CyberFlix TV. Les chercheurs ont découvert qu’un composant intégré pouvait transformer discrètement l’appareil en proxy résidentiel.
Plus inquiétant encore, une nouvelle partie de leur enquête montre que cette infrastructure peut également devenir un moyen de distribuer d’autres logiciels malveillants.
Tous les boîtiers IPTV ne sont évidemment pas concernés. Mais le fonctionnement observé sur ces appareils montre pourquoi installer des applications provenant de sources peu contrôlées peut exposer bien davantage que le téléviseur.
Votre adresse IP peut servir à quelqu’un d’autre
Le problème identifié par Plume se trouve notamment dans CyberFlix TV, une application proposée sur certains boîtiers SuperBox.
Les chercheurs y ont découvert un composant baptisé Popanet. Une fois actif, celui-ci peut enregistrer le boîtier auprès d’une infrastructure distante puis utiliser sa connexion Internet comme un proxy.
Le principe est simple : un tiers envoie son trafic Internet à travers la connexion du propriétaire du boîtier.
Pour le site ou le service situé à l’autre bout, ce trafic semble alors provenir de l’adresse IP du domicile où se trouve le SuperBox.
La personne qui possède l’appareil n’est pourtant pas nécessairement à l’origine de cette activité.
C’est précisément ce qui rend le système problématique.
Des dizaines de milliers de connexions peuvent partir du boîtier
L’activité mesurée par les chercheurs ne se limitait pas à quelques communications nécessaires au fonctionnement d’une application vidéo.
Plume explique avoir observé des dizaines de milliers de connexions sortantes par jour sur certains appareils, vers des milliers de destinations différentes.
Tout cela peut fonctionner en arrière-plan.
Le propriétaire voit seulement son boîtier connecté au Wi-Fi ou à sa box Internet. Pendant ce temps, l’appareil peut devenir un point de sortie pour d’autres utilisateurs du réseau proxy.
La quantité de données consommées peut même devenir suffisamment importante pour avoir un effet sur les performances de la connexion Internet du foyer, selon les observations du laboratoire.
Ce type de détournement rappelle l’immense botnet BadBox 2.0 qui avait compromis plus de 10 millions d’appareils Android, notamment des équipements connectés bon marché.
Des activités sensibles peuvent alors apparaître comme venant de chez vous
Les chercheurs ont également examiné le type de trafic transitant par l’infrastructure.
Ils disent avoir identifié notamment des opérations automatisées, du scraping de sites Internet, des tentatives de contournement de protections ainsi que des communications comportant certaines données sensibles.
Cela ne veut pas dire que le propriétaire du boîtier effectue personnellement ces actions.
C’est justement l’inverse : son adresse IP peut servir de façade à l’activité d’une autre personne.
Une adresse IP résidentielle présente un intérêt particulier pour ce type de réseau parce qu’elle ressemble davantage à celle d’un internaute ordinaire qu’à celle d’un serveur ou d’un centre de données.
Le boîtier installé sous le téléviseur devient alors un intermédiaire.
L’utilisation de votre connexion pourrait n’être que la première étape
Une autre partie de l’enquête publiée par Plume Security Labs ajoute un risque supplémentaire.
Les chercheurs expliquent que des appareils intégrés à ces réseaux de proxies peuvent également être ciblés pour recevoir de nouveaux logiciels malveillants.
Autrement dit, le problème ne se limite plus à prêter involontairement sa bande passante.
Un appareil déjà compromis peut devenir une cible particulièrement intéressante puisqu’un attaquant dispose déjà d’un mécanisme permettant d’interagir avec lui.
Les analyses de Plume reposent notamment sur l’étude du logiciel, du trafic réseau et de l’infrastructure utilisée par ces services.
Cette découverte transforme un boîtier apparemment banal en un équipement potentiellement beaucoup plus exposé que ne l’imagine son propriétaire.
Les chercheurs ont trouvé plusieurs protections insuffisantes
L’analyse des appareils SuperBox a également révélé des choix techniques inhabituels.
Sur les modèles étudiés, certaines fonctions de diagnostic Android pouvaient être accessibles sur le réseau local avec des protections beaucoup plus faibles que celles normalement attendues sur un appareil grand public.
Les chercheurs ont aussi constaté que la boutique d’applications propre à ces boîtiers disposait de possibilités d’installation particulièrement importantes.
Cela permet de contourner une partie des contrôles présents lorsqu’une application passe par les canaux Android traditionnels.
C’est l’une des raisons pour lesquelles installer un fichier APK IPTV provenant d’une source inconnue peut présenter davantage de risques qu’une application issue d’une boutique officielle.
Tous les boîtiers IPTV ne font pas cela
Il faut toutefois éviter une généralisation.
L’étude ne montre absolument pas que tous les boîtiers IPTV, toutes les box Android ou toutes les applications de streaming utilisent l’adresse IP de leurs propriétaires comme proxy.
Les recherches portent sur des appareils et logiciels déterminés, notamment plusieurs SuperBox et CyberFlix TV.
Un boîtier Android TV officiel provenant d’une grande marque et utilisant des applications distribuées via les boutiques reconnues ne doit donc pas être automatiquement assimilé aux appareils analysés.
Le risque devient surtout plus difficile à mesurer lorsque le boîtier embarque sa propre boutique d’applications, des APK préinstallés ou des logiciels dont l’origine et le modèle économique sont peu transparents.
Si vous possédez un SuperBox, vérifiez les applications installées
Pour les propriétaires d’un appareil concerné, le premier réflexe consiste à regarder quelles applications sont installées et notamment à rechercher CyberFlix TV.
Une consommation de données élevée, un boîtier qui continue à communiquer lorsqu’aucune vidéo n’est regardée ou des ralentissements inhabituels ne suffisent pas à prouver une infection. Beaucoup d’autres explications sont possibles.
Mais les conclusions de Plume montrent surtout qu’un boîtier connecté au réseau domestique ne doit pas être considéré comme un appareil sans conséquence.
Dans le cas étudié, la connexion Internet et l’adresse IP du foyer pouvaient être utilisées pour transporter le trafic de tiers sans que le propriétaire en ait conscience.
Et lorsqu’un appareil commence déjà à exécuter ce type de logiciel en arrière-plan, regarder gratuitement ou à bas prix quelques chaînes peut devenir le moins important des problèmes.
Source : Plume Security Labs
Samuel Le Goff suit l’actualité des smartphones, des systèmes d’exploitation mobiles et de l’intelligence artificielle depuis plus de 14 ans. Il couvre notamment Samsung, Xiaomi, Apple, Android, iOS et les grandes tendances du numérique.
