Троянский ТВ, или Новые риски вредоносных прокси

Владелец самого обычного домашнего роутера, Смарт-ТВ или телевизионной приставки — желанная цель для злоумышленников в 2026 году. Его технику охотно включают в ботнеты и сети «домашних прокси», о которых мы писали ранее.

Преступники сдают зараженное устройство «в субаренду», позволяя посторонним с его IP-адреса за плату обращаться к любым сайтам под видом обычного пользователя. Эта услуга востребована в самых разных теневых схемах: от накрутки рекламы и рассылки спама до перебора паролей и взлома чужих аккаунтов. И если в прошлой статье мы описывали «вербовку» домашних роутеров в такие прокси-сети, то сегодня речь пойдет о еще более уязвимом и тоже вездесущем классе устройств — об умных телевизорах и о ТВ-приставках (TV box).

Для преступников они привлекательны по двум причинам. Во-первых, в отличие от компьютеров и телефонов, ТВ почти всегда подключены к электросети и быстрому Интернету. Погасший экран телевизора не означает, что устройство выключено. Во-вторых, из-за специфического интерфейса и ограниченных возможностей мониторинга пользователь просто не видит подозрительные процессы, происходящие в фоновом режиме на устройстве.

Угроза эволюционирует и становится агрессивнее. Недавнее исследование показало, что с появлением на телеприставке ПО для прокси-сетей (proxyware) риски для владельца не ограничиваются лишь кражей трафика.

Анатомия заражения

Объектом изучения экспертов стала популярная ТВ-приставка бренда SuperBox, о которой мы уже писали раньше в посте Ваша TV-приставка работает против вас?

В ее рекламе делается упор на возможность смотреть тысячи телеканалов без абонентской платы или подписки. Однако «из коробки» устройство ничего подобного не умеет. Чтобы получить доступ к пиратскому контенту, нужно установить фирменный магазин приложений.

После его запуска и установки оттуда дополнительных приложений действительно появляются обещанные телеканалы. Но в фоновом режиме, без всяких предупреждений и запросов разрешений начинается шквал несанкционированных обращений к внешним сайтам. В сети резко возрастает трафик.

Исследователи обнаружили несколько тревожных фактов. Во-первых, жертву включают сразу в пять (!) ботнетов – на SuperBox запускаются клиенты сразу нескольких сетей proxyware. которые даже пытаются конкурировать, препятствуя установке ПО друг друга.

Самое неприятное открытие — атаки на внутреннюю сеть. ПО proxyware на телеприставке не ограничивает сетевые возможности «клиентов», покупающих прокси-сервис. Они могут обращаться не только к внешним ресурсам, но и к устройствам внутри вашей домашней сети.

Обычно от атак извне нас защищают настройки домашнего маршрутизатора и провайдера. Но proxyware работает изнутри сети, обходя эти барьеры. В ходе эксперимента авторы исследования убедились, что через зараженную приставку злоумышленник из Интернета может легко открыть панель администрирования домашнего роутера (например, Linksys), которая по логике доступна только владельцу при подключении к домашнему Wi-Fi. Это означает, что хакеры могут попытаться украсть данные с других домашних устройств или даже зашифровать домашний NAS.

При этом дефекты заводской прошивки SuperBox позволяют хакерам удаленно устанавливать и запускать любые приложения с правами суперпользователя. Эта угроза не теоретическая. За три недели мониторинга на «подопытную» приставку через сеть домашних прокси было совершено более 1300 атак. В итоге на нее установили три разных вида вредоносного ПО, включая модуль для организации DDoS-атак.

Вредоносное ПО закрепляется в системе несколькими способами. Перезагрузка приставки или сбои питания не прерывают его работу.

Как понять, что ваша приставка работает на хакеров

Если у вас есть недорогая ТВ-приставка или Android-телевизор от малоизвестного бренда, стоит проверить их на наличие аномалий.

Самый надежный метод — проверить сетевой трафик. Используйте статистику в панели управления вашим роутером (в некоторых бюджетных моделях ее может не быть). Для примера: в роутерах ASUS эта функция называется Traffic Analyzer, в TP-Link — Traffic Usage, в Keenetic — Traffic Monitor. Найдите свой телевизор или телеприставку в списке устройств и проверьте соотношение загруженных (download) и отправленных (upload) данных. Они должны потреблять много трафика (скачивая видео), а отправлять минимум. Если приставка систематически отдает в сеть гигабайты данных или замечена за постоянным обменом трафиком, даже когда вы ее не используете — это явный признак заражения.

Если статистика трафика недоступна, обратите внимание на косвенные признаки:

• лампочки на приставке все время активно мигают (индикация сети и чтения памяти), хотя устройством никто не пользуется;
• корпус приставки постоянно теплый или горячий;
• интерфейс стал медленно реагировать на пульт, устройство зависает в моменты, не связанные с просмотром тяжелого видео;
• скорость Интернета на других домашних устройствах (ПК, смартфоны) заметно упала;
• при попытке зайти на привычные сайты через домашний Wi-Fi вам постоянно предлагают пройти капчу — это может означать, что ваша сеть скомпрометирована и занесена в спам-базы;
• вам звонят из техподдержки провайдера с вопросами о подозрительной нагрузке на сеть.

Что делать с инфицированным устройством

Лучшее решение — отключить устройство от Интернета и утилизировать его. Однако, если вы вынуждены продолжить его использование, минимизируйте риски по следующему алгоритму.

1. Сброс до заводских настроек (Hard Reset). Верните приставку к первоначальному состоянию.
2. Настройка без сети. При первом включении после сброса пропустите шаг подключения к Wi-Fi и не вставляйте Ethernet-кабель.
3. Блокировка установки. Зайдите в настройки Android и отключите опцию «Установка приложений из неизвестных источников» (Install apps from unknown sources). Обязательно отключите любые функции отладки, если они включены (USB debugging, Wireless debugging, ADB). Названия пунктов могут отличаться в зависимости от версии Android и производителя устройства.
4. Изоляция в сети. Создайте на вашем роутере гостевую сеть (Guest Wi-Fi) и подключите ТВ-приставку к ней. Включите в настройках роутера опцию «Изоляция клиентов» (Client Isolation), если она есть. Это запретит приставке «видеть» другие устройства в домашней сети, защитив ваши компьютеры и сетевые хранилища.
5. Проверка обновлений. Подключившись к гостевой сети, проверьте наличие официальных обновлений прошивки — иногда производители закрывают найденные уязвимости, хотя в случае с малоизвестными брендами на это рассчитывать не стоит.

Самые надежные меры защиты

Покупка дешевых устройств с функциями пиратского просмотра и установка ПО из сомнительных источников — это прямая дорога к компрометации вашей домашней сети. С вашего IP-адреса будет вестись вредоносная активность, что в лучшем случае приведет к блокировке со стороны провайдера, а в худшем — вызовет пристальный интерес правоохранительных органов. Кроме того, хакеры могут использовать приставку как плацдарм для атаки на ваши домашние компьютеры и сетевые хранилища (NAS), что чревато кражей личных данных или их шифрованием с требованием выкупа.

Лучшая защита — приобретать технику проверенных брендов и платить за легальный контент. А чтобы исключить перехват управления вашей сетью, убедитесь, что панель управления роутером и другие домашние устройства защищены уникальными, сложными паролями. Чтобы не держать их все в голове, используйте надежные менеджеры паролей, такие как Kaspersky Password Manager. А функция защиты умного дома в составе Kaspersky Premium позволит держать все свои устройства под полным контролем.

Что еще вы не знаете о домашних умных устройствах?

• Ваша TV-приставка работает против вас?
• Подслушивают ли вас телевизоры, смартфоны и умные колонки?
• Пять правил, которые запретят IP-камерам следить за вами
• Как вас предают бюджетные Android-устройства
• Работает ли ваш роутер на иностранные спецслужбы?
• Уязвимости в Lovense: небезопасные игрушки для взрослых