Samsung ha deciso di vietare sulla propria piattaforma per smart TV le applicazioni che condividono la connessione internet degli utenti con soggetti esterni. La misura arriva dopo che una ricerca di sicurezza ha individuato in diverse app popolari codice capace di trasformare i televisori in punti di passaggio per traffico altrui, esponendo potenzialmente milioni di dispositivi al rischio di utilizzi impropri. Alcuni sviluppatori sostengono che le applicazioni coinvolte siano state installate su centinaia di milioni di TV.
Il meccanismo si basa sulle reti proxy residenziali, o resproxy, servizi che instradano il traffico web attraverso normali connessioni domestiche e aziendali. Quando un’app integra questo software, il televisore può diventare un exit node, cioè il punto dal quale il traffico di uno sconosciuto appare provenire. In determinate condizioni il canale rimane attivo in background anche dopo la chiusura dell’app, trasformando un dispositivo domestico in un tunnel internet sempre disponibile.
Tra i casi analizzati figura un semplice gioco di Pac-Man, promosso da Samsung nella sezione Editor’s Choice visibile sugli schermi dei clienti. La presenza dell’app in uno spazio selezionato direttamente dalla piattaforma mostra quanto il problema possa oltrepassare i confini delle applicazioni marginali. Molti di questi software sono involucri essenziali, composti da poche righe di codice e progettati per caricare giochi o altri contenuti da un server esterno.
La ricerca della società norvegese di cybersicurezza Mnemonic descrive una combinazione di controlli insufficienti e architetture difficili da ispezionare. Durante la revisione, infatti, può essere esaminato soltanto il codice dell’involucro, non necessariamente il contenuto successivamente caricato dal web. «Ciò che è stato revisionato non è necessariamente ciò che viene eseguito», ha scritto Harrison Sand, consulente di sicurezza offensiva dell’azienda.
Samsung ha dichiarato di avere già limitato la registrazione di nuove app dotate di funzionalità proxy. Il gruppo sta inoltre introducendo regole più severe per gli sviluppatori, con un divieto esplicito per gli SDK di proxy residenziali, e lavorando all’identificazione e alla rimozione delle applicazioni che contengono questi componenti. Una scelta analoga era stata annunciata il mese precedente da LG, dopo che circa il 42% delle app presenti nel suo store era risultato coinvolto nell’arruolamento dei televisori in reti proxy.
L’analisi tecnica è stata condotta ottenendo accesso profondo al software di un televisore Samsung e osservando il traffico di rete in entrata e in uscita. Nel gioco di Pac-Man è stato individuato codice di Bright Data, società israeliana che offre accesso a milioni di reti residenziali e commercializza dataset ottenuti tramite attività di raccolta automatizzata di informazioni pubbliche sul web. Il codice veniva caricato all’apertura del gioco, ma non trasformava automaticamente il televisore in un nodo.
L’attivazione avveniva dopo l’accettazione di una schermata di consenso; da quel momento il software continuava a funzionare in background fino alla cancellazione dell’app. Sand ha però avvertito che una semplice modifica sul server avrebbe potuto attivare istantaneamente centinaia di milioni di televisori, creando una potenziale botnet. Nel campione osservato, parte del traffico sembrava legata alla raccolta su larga scala di profili LinkedIn e di dati destinati all’addestramento dell’AI, sebbene il ricercatore abbia potuto vedere soltanto una minima porzione della rete.
I resproxy non sono illegali in sé e possono servire, per esempio, ad aggirare la censura. La stessa capacità di far apparire il traffico come proveniente da una normale abitazione può però nascondere attacchi informatici e violazioni di dati. Poiché i flussi sono generalmente crittografati, risultano anche difficili da ispezionare: il divieto imposto da Samsung sposta quindi la difesa direttamente sullo store e sulle regole applicate agli sviluppatori.