‏تلویزیون هوشمندت بی‌سروصدا داره برای هوش مصنوعی جاسوسی می‌کنه

خلاصهٔ ماجرا اینه که طبق تحقیق تازهٔ شرکت Include Security، یه‌سری اپ رایگان روی تلویزیون‌های هوشمند سامسونگ، ال‌جی، Roku و چند پلتفرم بزرگ دیگه، بی‌سروصدا میلیون‌ها دستگاهِ توی پذیرایی مردم رو وارد یه شبکهٔ پراکسی خانگیِ تجاری کردن. کار این شبکه اینه که دیتای وب رو برای آموزش مدل‌های هوش مصنوعی اسکرپ کنه و ترافیکش رو از روی اینترنت خونهٔ آدم‌های عادی رد کنه.

مقصر اصلی یه SDK ـه که شرکت Bright Data — یه شرکت جمع‌آوری دیتا مستقر در تل‌آویو — ساخته. این شرکت ادعا می‌کنه بزرگ‌ترین شبکهٔ پراکسی خانگی دنیا با بیش از ۱۵۰ میلیون آدرس IP رو داره که از طریق نرم‌افزار تعبیه‌شده تو اپ‌های شریک به‌دست میاد. وقتی این SDK نصب می‌شه، تلویزیون یا موبایل کاربر رو به یه «نود خروجی» (exit node) تبدیل می‌کنه و ترافیک اسکرپینگِ مشتری‌های پولی رو از مسیر اتصال اینترنت خونهٔ کاربر عبور می‌ده.

به گفتهٔ محققی به اسم Buchodi که با Include Security کار کرده، دلیل اینکه تلویزیون‌ها هدف بهتری از گوشی هستن روشنه: همیشه به برق وصلن، همیشه روی Wi-Fi هستن، ۲۴ ساعته تو حالت standby می‌مونن، عملاً هیچ نظارت سازمانی یا MDM روشون نیست و کاربر هم به‌ندرت سراغشون می‌ره. نکتهٔ نگران‌کننده‌تر اینه که تنظیمات SDK دو تا فلگ داره که نشون می‌ده دستگاه حتی موقع تماشای فعال کاربر یا وسط یه تماس هم برای رله کردن ترافیک شخص ثالث «واجد شرایط» حساب می‌شه:

ignore_screen_on: true
ignore_on_call: true

نکتهٔ جالب تحقیق اینه که خیلی از این جزئیات از یه endpointِ پیکربندیِ عمومی و بدون احراز هویتِ خود Bright Data بیرون کشیده شده. سقف پیش‌فرض پهنای‌باند برای رله روی Wi-Fi، ۲۰۰ گیگابایت در ماه روی هر دستگاهه. همین endpoint یه فهرست از شریک‌ها رو هم لو داده؛ مثلاً PlayWorks Digital با بیش از ۴۰۰ بازی که روی سامسونگ، ال‌جی، Comcast، Roku و Sky پخش شدن و به حدود ۲۵۰ میلیون خانوار می‌رسن، یا Viber از مجموعهٔ Rakuten. جالبه که Hola Networks هم به‌عنوان شرکت مادر و ریشهٔ Bright Data توی این فهرست هست.

بخش فنیِ کار از این هم زیرکانه‌تره. SDK یه اتصال دائمی WebSocket باز می‌کنه و گواهی TLS اون به نام دامنه‌ای ختم می‌شه که به اسم قدیمیِ Bright Data یعنی Luminati Networks (قبل از ۲۰۱۸) برمی‌گرده. به گفتهٔ محقق، همین نام میزبانِ قدیمی یه نقطهٔ تشخیص مستقیم برای مدافع‌هاست.

مهم‌تر اینکه SDK روی iOS از API به اسم NWParameters.requiredInterface استفاده می‌کنه تا مسیر دیتا رو مستقیم به اینترفیس فیزیکی Wi-Fi یا سلولار ببنده و کلاً هر VPNِ تنظیم‌شدهٔ کاربر رو دور بزنه. کانال کنترلی‌اش هم به‌جای URLSession از CFHTTPMessage استفاده می‌کنه تا ابزارهای استاندارد رصد iOS نتونن ببیننش.

برای دفاع، Buchodi پیشنهاد می‌ده چند نام میزبانِ مشخص (مثل proxyjs.brdtnet.com و clientsdk.bright-sdk.com) رو روی روتر مسدود کنین و هر هندشیک TLS با SNIِ متعلق به دامنه‌های brdtnet.com، luminatinet.com و luminati.io رو دراپ کنین. مدیرهای MDM سازمانی هم می‌تونن دنبال نمادهای باینریِ Swift مثل BrdWebSocketFacade بگردن تا اپ‌های آلوده رو پیدا کنن. در ضمن Include Security روز ۱۱ مه ۲۰۲۶ به Bright Data اطلاع داده، ولی تا زمان انتشار هیچ جوابی نگرفته.

نکات کلیدی:

• اپ‌های رایگان روی تلویزیون‌های سامسونگ، ال‌جی، Roku و... دستگاه‌ها رو بی‌خبر به نود خروجیِ یه شبکهٔ پراکسی خانگی تبدیل می‌کنن
• مقصر یه SDK از شرکت Bright Data ـه که ترافیک اسکرپینگ مشتری‌های پولی رو از اینترنت خونهٔ کاربر رد می‌کنه
• تلویزیون چون همیشه روشن، بدون نظارت و رهاشده‌ست، هدف ایده‌آلیه؛ فلگ‌های تنظیمات حتی موقع تماشای کاربر دستگاه رو واجد شرایط می‌دونن
• روی iOS با بایند کردن مستقیم به اینترفیس فیزیکی، VPN کاربر رو دور می‌زنه و کانال کنترلی‌اش از دید ابزارهای رصد پنهون می‌مونه
• برای دفاع: مسدود کردن نام‌های میزبانِ مشخص روی روتر، فیلتر TLS بر اساس SNI و اسکن نمادهای باینری Swift روی دستگاه‌های مدیریت‌شده