Gratis films, series en sport kijken voor een paar euro per maand klinkt aantrekkelijk. Maar bij sommige IPTV-kastjes krijg je meer dan je hebt besteld: verouderde software, vooraf geïnstalleerde malware en mogelijk zelfs een ingang voor criminelen op je thuisnetwerk. Hoe vaak gebeurt dat in Nederland en België?
Gratis films, series en sport kijken voor een paar euro per maand klinkt aantrekkelijk. Maar bij sommige IPTV-kastjes krijg je meer dan je hebt besteld: verouderde software, vooraf geïnstalleerde malware en mogelijk zelfs een ingang voor criminelen op je thuisnetwerk. Hoe vaak gebeurt dat in Nederland en België?Gratis kaas bestaat alleen in een muizenval. Deze Russische wijsheid kwam ik laatst tegen en daar heb ik geregeld aan moeten denken bij het onderzoek voor dit verhaal. IPTV-kastjes, vaak Android-apparaten die je aan je tv kunt hangen, beloven vaak gratis of in elk geval veel te goedkope kaas. Die kaas bestaat uiteraard uit films, series en live-uitzendingen van sport.
Dit verhaal begon met een reactie van tweaker Gody. Die wees erop dat het probleem met illegale streamingdiensten en IPTV-kastjes niet alleen is dat gebruikers illegaal aanbod consumeren, maar ook dat criminelen deze kastjes vaak gebruiken voor illegale activiteiten.
Vorige week kwamen de kastjes volop in de belangstelling door een brandbrief van mediabedrijven, waaronder Tweakers-moederbedrijf DPG, eigenaar van streamingdienst Videoland. Ook Stichting Brein bleek er volop aandacht voor te hebben. Klopt het dat de beveiliging van deze kastjes een … gatenkaas is?
Settopboxen met Android en Linux zijn uiteraard volstrekt legaal en dus overal te koop. Ook aan mediaspelersoftware is niets illegaals. IPTV staat voor Internet Protocol Television: televisie via het internetprotocol. Wat illegaal is, zijn de illegale streams die je erop kunt kijken. In sommige gevallen zijn de apps op de kastjes ook illegaal, net als de abonnementen om goedkope content van allerlei diensten te bekijken.
Dat kun je als gebruiker op je vingers natellen. Netflix kost al snel 15 euro per maand en ook Disney+, Amazon Prime Video, Videoland, Apple TV+ en dergelijke diensten komen al snel uit op 10 euro per stuk. Als je content van al die diensten kunt bekijken, zou dat legaal neerkomen op honderden euro's. Als een dienst dat aanbiedt voor 5 tot 10 euro per maand, dan is dat uiteraard geen legaal aanbod.
Die kastjes hebben vaak geen merk of zijn van merken die alleen in de wereld van illegale streaming bekend zijn. De prijzen beginnen bij enkele tientjes en lopen op tot honderden euro's. We gaan hier uiteraard geen merken noemen, maar dit gaat in elk geval niet om bekende en gerenommeerde makers als Apple, Xiaomi, Google en Nvidia. De kastjes die je krijgt van providers vallen hier ook niet onder.
Die kastjes draaien niet op Android TV of Google TV, maar op een Android Open Source Project-uitgave van Android. Vaak gaat het om een oude versie. Op de productpagina's kwam ik veel Android 11 en Android 12 tegen. Google bracht dit jaar Android 17 uit en deze versies zijn dus vijf tot zes jaar oud.
Dat alleen al is een waarschuwing waard. Zelfs als er verder niets met deze kastjes aan de hand is, is het draaien van een oude Android-versie geen verstandig plan. Er zijn allemaal bekende lekken en exploits en een dergelijk kastje is dus vatbaar voor hacks van buitenaf.
Malware kan op verschillende manieren op deze kastjes terechtkomen. Vooral bij oudere Android-versies gaat het om malware die er in de fabriek op is gezet of die het kastje zelf installeert wanneer het voor het eerst opstart. Dat vereist dat er medewerkers van de fabrikant bij dit plan betrokken zijn. Een dergelijke methode was onderdeel van BadBox uit 2023.
Dat gebeurde ook bij het XCPE-botnet dat Google deze week onthulde. De fabrikant installeerde deze malware zelf op de kastjes nadat criminelen ervoor betaalden. Het grote voordeel voor criminelen is dat de malware dan niet verwijderbaar is. De malware zit in de firmware van het kastje en komt na elke reset weer terug. Dat gebeurde op 1,3 miljoen kastjes, zo claimt Google.
Een andere manier is om mensen ertoe te verleiden de malware zelf te installeren, bijvoorbeeld als onderdeel van een legitieme app. De app voert dan de functie uit, maar installeert daarnaast minder frisse zaken op het systeem. Dat is makkelijker voor criminelen, omdat de fabrikant van het kastje niet betrokken hoeft te zijn. BadBox 2.0 werkte met een combinatie van voorgeïnstalleerde apps en apps die in onofficiële downloadwinkels stonden. Beide varianten zijn bekende voorbeelden van settopboxmalware.
Het idee is in alle gevallen hetzelfde. De box neemt door de infectie contact op met een command-and-controlserver die de tv-box in een botnet plaatst. Vervolgens kan de criminele groep diensten aanbieden die gebruikmaken van de rekenkracht van de box en de bandbreedte van de nietsvermoedende klant.
Dat kan van alles zijn. De eerste BadBox kwam aan het licht door grootschalige klikfraude. Kwaadwillenden hadden het botnet ingezet om massaal op advertenties op domeinen te klikken. Ook zijn de tv-boxen in het botnet te koop voor proxydiensten, zodat downloaders van illegaal materiaal zoals kinderporno dat niet via hun eigen netwerkverbinding hoeven te doen.
Een andere manier van advertentiefraude werkt met 'evil twins'. Een ontwikkelaar publiceert een schone app in de Play Store en een frauduleuze versie in de downloadwinkel van dit soort tv-boxen. Als gebruikers die apps gebruiken, denken advertentieplatforms dat de verzoeken van een door Google goedgekeurde Play Store-app komen, terwijl het in feite een frauduleuze app is.
Het is lastig na te gaan hoeveel van dit soort apparaten actief zijn in Nederland en België. Er zijn naar schatting tussen 2,5 en 3 miljoen afnemers van illegale IPTV-diensten in Nederland en België bij elkaar, maar die zullen lang niet allemaal een dergelijk kastje hebben. Bovendien zullen veel mensen niet eerlijk 'ja' antwoorden als je ze vraagt of ze zo'n kastje hebben. Daarnaast zal er een groep zijn die zich niet bewust is van wat voor kastje bij hun tv staat, zeker als iemand anders dat voor hen heeft neergezet.
Nederland en België komen niet prominent voor in de statistieken over botnets als BadBox en Kimwolf. Ook bij Googles XCPE-botnet waren er weinig tot geen gevallen in Nederland en België. Naar schatting gaat het om enkele honderden kastjes in Nederland. Dat zegt niet alles, omdat onontdekte botnets en malware een rol kunnen spelen.
Bovendien kan de malware maanden inactief blijven voordat ze contact opneemt met een server. Dat is bijvoorbeeld zo bij Keenadu. Dat is uitermate geavanceerde malware. Die moet in de fabriek op het kastje komen, maar daarna zijn de mogelijkheden ook eindeloos. Die zit namelijk in libandroid_runtime.so. Dat is een kerncomponent van Android.
Via die weg komt de malware terecht in de Android-component Zygote, die verantwoordelijk is voor het sandboxen van apps in Android. Sandboxing zorgt ervoor dat apps afzonderlijk van elkaar draaien en standaard geen toegang hebben tot elkaars data. Voor deze malware werkt dat omgekeerd: die werkt in veel apps, omdat die vanuit Zygote in elke app terechtkomt.
De uitzonderingen die de malware maakt, laten zien waar deze malware vandaan komt. De malware wordt niet actief als het kastje op Chinees staat, maar juist wel als de Play Store op het apparaat actief wordt.
Wat de criminelen er in dit geval mee doen, is relatief simpel en voor de eigenaar niet direct merkbaar. Ze zouden logins en bankgegevens kunnen jatten, maar dat doen ze niet. Ze gebruiken het wel voor advertentiefraude, waarbij de kastjes op advertenties klikken. Ook gebruiken ze het voor 'installatiebonussen'. Als gebruikers een app installeren, doet de malware net alsof de gebruiker dat heeft gedaan via een promolink. Daardoor krijgen de hackers daar een klein geldbedrag van.
Zoals eerder gezegd: er zijn veel leuke, goede mediaspelers op de markt die vrij zijn van malware en zich richten op legaal aanbod. Maar er zijn ook veel kastjes te koop van vagere, onbekende merken, veelal tegen lagere prijzen. Die doen net alsof je gratis kaas krijgt, terwijl de muizenval voor je klaarstaat.
Los van de vraag of je er last van hebt dat iemand anders jouw bandbreedte verkoopt voor een proxydienst of met jouw kastje online op advertenties klikt, hebben criminelen dus toegang tot een kastje in huis. Daarmee hebben ze ook een ingang tot het netwerk. Het is een fysiek paard van Troje.
Eerlijk is eerlijk: ik begon aan dit verhaal met het idee om een boodschap uit de brandbrief van vorige week te ontkrachten. Ik dacht: het zal vast zo zijn dat er incidenten zijn geweest met kastjes, maar het zal toch niet zó erg zijn. DPG, NPO en Talpa willen ons beschermen uit de goedheid van hun hart. Het zal wel.
Het is lastig vast te stellen of al dit soort kastjes vatbaar zijn voor malware of zijn geïnfecteerd. Het enige cijfer dat ik kon vinden, was dat 18 procent van de klanten die illegaal hadden gestreamd zich ervan bewust was dat hun apparaat met malware was geïnfecteerd, zo bleek uit Brits onderzoek. Ongeveer 41 procent kreeg te maken met diefstal van bankgegevens. Het verschil tussen die percentages legt het probleem al bloot. Als iemand anders geld bij je afschrijft, merk je dat wel. Als je kastje onderdeel is van een botnet, is dat lastiger te zien. Ook veel andere apparaten in ons leven zijn hackbaar, niet alleen deze kastjes.
Maar met de gebrekkige beveiliging, de geavanceerde malware en de risico's die ontstaan als je zo'n apparaat aan een thuisnetwerk hangt, is een waarschuwing op zijn plek. Gratis kaas is aanlokkelijk, zeker omdat de betaalde versie zo duur is geworden en welwillende klanten op zoveel plekken moeten betalen. Maar linksom of rechtsom: deze kaas stinkt.
Redactie: Arnoud Wokke • Eindredactie: Monique van den Boomen
Source: Tweakers.net