Achtergrond - Hoe illegale IPTV-kastjes een ingang voor criminelen kunnen worden

In dit artikel:

Goedkope IPTV-kastjes lijken een voordelige manier om films, series en sport te bekijken, maar kunnen ernstige beveiligingsrisico’s meebrengen. Het gaat vooral om merkloze of weinig bekende Android-apparaten waarop illegale streamingapps en abonnementen zijn geïnstalleerd. De apparaten zelf zijn niet verboden: Android-boxen en mediaspelers zijn legaal. Het probleem zit in de software, de aangeboden streams en de vaak gebrekkige beveiliging.

Veel van deze kastjes draaien op een verouderde versie van Android Open Source Project. Op verkooppagina’s worden geregeld Android 11- en Android 12-apparaten aangeboden, terwijl inmiddels veel nieuwere versies bestaan. Daardoor kunnen bekende kwetsbaarheden onopgelost blijven en kunnen aanvallers het apparaat van buitenaf misbruiken. Ook de lage prijs van een abonnement is een waarschuwing: toegang tot het aanbod van meerdere grote streamingdiensten voor enkele euro’s per maand kan niet op een legale manier worden aangeboden.

Malware kan al tijdens de productie in de firmware worden geplaatst. In dat geval hoeft de gebruiker zelf niets verdachts te installeren en kan de besmetting na een fabrieksreset terugkeren. Google meldde onlangs het XCPE-botnet, waarbij volgens het bedrijf 1,3 miljoen apparaten op deze manier waren geïnfecteerd. Bij andere varianten belanden schadelijke apps in onofficiële downloadwinkels of worden ze verborgen in software die voor de gebruiker legitiem lijkt. Eerdere BadBox-campagnes maakten gebruik van beide technieken.

Een besmet kastje kan onderdeel worden van een botnet en verbinding maken met een server die het apparaat aanstuurt. Criminelen kunnen vervolgens de internetverbinding en rekenkracht van de eigenaar verhuren of inzetten voor advertentiefraude. Zo werden apparaten uit een eerdere BadBox-campagne gebruikt om op grote schaal op advertenties te klikken. Ook kunnen ze worden verkocht als proxy, zodat anderen internetactiviteiten via de verbinding van de eigenaar laten lopen. Bij zogenoemde ‘evil twin’-apps wordt bovendien de indruk gewekt dat frauduleuze advertentieverzoeken afkomstig zijn van een officiële app.

Sommige malware blijft lange tijd onopgemerkt. De geavanceerde malware Keenadu kan zich in een kernonderdeel van Android nestelen en daardoor in meerdere apps actief worden. Volgens de beschreven analyse wordt deze malware onder meer gebruikt voor advertentiefraude en het innen van installatievergoedingen. De makers lijken daarbij niet primair uit te zijn op bankgegevens of inloggegevens, al blijft toegang tot een apparaat in een thuisnetwerk op zichzelf riskant.

Het precieze aantal besmette IPTV-kastjes in Nederland en België is onbekend. Naar schatting gebruiken in beide landen samen 2,5 tot 3 miljoen mensen illegale IPTV-diensten, maar dat betekent niet dat zij allemaal een Android-box gebruiken. Bovendien weten sommige gebruikers niet welk apparaat voor hun televisie staat of zijn ze zich niet bewust van de risico’s. Nederland en België komen in bekende botnetstatistieken weinig voor. Bij het XCPE-botnet zouden in Nederland naar schatting enkele honderden apparaten zijn aangetroffen, terwijl voor België geen duidelijk aantal wordt genoemd. Die cijfers sluiten onbekende besmettingen niet uit.

Brits onderzoek onder mensen die illegaal streamden, liet zien dat 18 procent wist dat hun apparaat met malware was besmet. Ongeveer 41 procent kreeg volgens dat onderzoek te maken met diefstal van bankgegevens. Omdat botnetactiviteiten meestal niet direct zichtbaar zijn, kan een infectie lang onopgemerkt blijven.

Niet iedere Android-mediaspeler is dus gevaarlijk. Apparaten van gerenommeerde fabrikanten en modellen die zijn bedoeld voor legaal gebruik vormen een andere categorie. Bij goedkope kastjes van onbekende herkomst maken de combinatie van oude software, illegale apps en een verbinding met het thuisnetwerk het risico echter aanzienlijk. Een waarschuwing voor mogelijke malware en misbruik van de internetverbinding is daarom gerechtvaardigd, ook al is niet vast te stellen hoe vaak besmetting in Nederland en België precies voorkomt.