Netnut ou pourquoi je ne parle plus de TVBox Android

Dans une opération conjointe, le FBI, des spécialistes de la cybersécurité et Google ont annoncé avoir bloqué le service Netnut, un réseau mondial gigantesque de matériel infecté utilisé pour des campagnes de désinformation et des attaques informatiques.

Netnut est – j’ai du mal à en parler au passé – une plateforme illégale de service. Son rôle était de mettre en relation des clients et des matériels disséminés sur toute la planète afin de mener diverses opérations illégales. Quelques exemples pour mieux comprendre de quoi on parle.

• Vous voulez empêcher un site de fonctionner, vous pouvez faire ce qu’on appelle une attaque DDOS. Vous saturez le site de requêtes de manière a dépasser sa capacité à les gérer, cela fait tomber le serveur et empêche les utilisateurs légitimes d’y accéder. Seul problème, si vous faites attaquer ce site par une seule source, il suffit de bloquer celle-ci pour résoudre le problème. Les attaquants utilisent donc plusieurs adresses IP différentes.
• Vous voulez interférer dans la politique d’un pays en faisant croire au support ou, au contraire, à la détestation d’un mouvement, vous pouvez envoyer des centaines de milliers de messages dans un sens ou dans l’autre au travers d’autant d’adresses IP. Histoire là encore de ne pas être filtré par les opérateurs.
• Vous voulez arnaquer des gens à grande échelle, vous devez utiliser des adresses différentes afin d’envoyer vos publicités, emails et autres afin de ne pas, là encore, vous faire repérer trop vite.

C’est pour ces cas précis que Netnut a été mis en place. Le système permet d’offrir à toutes ces activités illégales une plateforme qui transmet leur trafic à des machines vérolées installées chez des particuliers. grâce à des appareils que les utilisateurs emploient de bonne foi mais qui cachent dans leur code un service invisible. Les personnes peu scrupuleuses qui proposent le service Netnut vont pouvoir se servir de votre TV-Box Android qui vous sert à lire des vidéos, branchée sous votre téléviseur, pour faire transférer via votre adresse IP leurs requêtes. Cela rend la lutte contre ces adresses quasiment impossible. Quand un trafic DDOS provient d’un million d’IP différentes réparties dans énormément de pays, il devient impossible de voir s’il s’agit d’internautes légitimes ou d’une personne mal intentionnée.

Certaines Box proposent des webcams intégrées.… Pour filmer quoi ?

Netnut démantelé, un réseau de deux millions de TV-Box Android qui tombent

Sur Minimachines, je vous ai pendant longtemps parlé de ces TV-Box chinoises. Elles étaient peu chères, efficaces, certaines permettaient une installation de Linux, d’autres d’accéder à des services de streaming pour une fraction du prix des Box de grandes marques. Jusqu’en 2017 il ne passait pas un mois sans qu’une nouveauté apparaisse dans ce petit monde des boîtiers Android. Et puis, peu à peu et avec l’aide de certains lecteurs, j’ai commencé à prendre conscience du problème. De plus en plus de ces outils arrivaient en posant problème. Certains faisaient circuler de grandes quantités de données de manière cachée alors même qu’ils étaient censés être en veille. Un outil non sollicité par son propriétaire qui trafique dans son coin, c’est courant. Mais un outil qui le fait avec une bande passante énorme et 24H/24, cela commence à être plus problématique.

L’offre actuelle est restée très opaque.

Au fil des mois, j’ai donc arrêté de couvrir ce secteur. Il restait un billet de temps en temps pour la sortie d’un SoC ARM ou parce qu’une application était portée sur un de ces appareils. Voir pourquoi une marque un peu connue sortait un produit original comme le Beelink GS-King X en 2020. Mais plus rien à voir avec l’effervescence des années 2012-2016. En 2023 un premier scandale lié à ces matériels est apparu avec Badbox. Il s’agissait là de voler des données utilisateurs et de diffuser de la publicité directement sur les TV-Box. Une pratique dangereuse qui a permis d’escroquer pas mal de monde pendant des années. Dès lors j’ai cessé de parler totalement de ces engins, en bien ou en mal, pour éviter de laisser croire que cela puisse être une solution.

Les TV-Box certifiées par Google sont exemptes de portes dérobées… tant qu’elles sont encore mises à jour

Avec Netnut on redécouvre un des problèmes de ces engins, aggravé par l’apparition de boîtiers IPTV illégaux. Des TVBox souvent vendues assez chères qui utilisent des serveurs fantômes pour proposer du contenu en streaming. Un prix d’achat élevé mais plus de frais d’abonnement… Ceux-ci, combinés au TV-Box, offraient une plateforme de rêve au service Netnut. Une mafia quelconque pouvant utiliser chacun de ces appareils pour son compte et à l’insu de son utilisateur. La masse de ces engins, souvent équipés de vieilles versions d’Android jamais mises à jour, pouvant servir à lancer une campagne depuis votre IP sans que vous en soyez au courant.

Netnut qui tombe, c’est une bonne nouvelle, mais cela ne veut pas dire que le réseau est démantelé. Les outils employés par les instigateurs de ces systèmes comportent en général tout l’attirail logiciel pour récupérer les TV-Box abandonnées afin de les réutiliser avec un autre réseau. C’est pour cela que j’ai du mal à parler de Netnut au passé. Demain, un autre système récupérera tout ou partie du cheptel de ces boîtiers. Pour en faire d’autres machines zombies avec exactement les mêmes objectifs et les mêmes risques.

Certaines marques floutent les boutons de streaming de leurs télécommandes, en général l’accès au service est possible grâce à un DRM illégalement installé et ne tient pas longtemps.

Abandonner ces vieilles TV-Box semble être la solution la plus sage. À moins d’avoir l’alternative possible de contrôler très finement leur trafic entrant et sortant, c’est sans doute la seule bonne chose à faire.