FBI raskrinkan – 10 milijuna IPTV kutija pretvoreno u špijunski botnet

Priča počinje posve nevino, onako kako počinju sve dobre obiteljske drame. Kći koja radi u tehnološkom sektoru dolazi u posjet ocu, visokopozicioniranom direktoru u naftnoj i plinskoj industriji, a on joj uzbuđeno pokazuje svoju novu akviziciju. Riječ je o kutiji koja za jednokratnu svotu od 300 dolara nudi pristup tisućama filmova, serija i sportskih prijenosa bez ikakve mjesečne pretplate. No zabrinjavajuće usporavanje kućne mreže otkrit će zlokobnu istinu iza ovog uređaja.

Tehničarka po imenu Hashley primijetila je da se mreža njezina oca ponaša izrazito sporo otkako je nabavio nekoliko ovih uređaja. Iako nitko u tom trenutku nije gledao filmove, podatkovni promet bio je neuobičajeno zagušen. Odlučila je jednu takvu kutiju odnijeti u svoj laboratorij i spojiti je na izoliranu mrežu kako bi alatom za analizu paketa provjerila o čemu se točno radi. Ono što je otkrila nadilazi svaki oblik uobičajenog piratstva i zadire u sferu organiziranog kibernetičkog ratovanja.

Prva sumnjiva aktivnost bila je povezivanje kutije s poslužiteljima u Kini, uključujući komunikaciju s QQ.com, platformom za razmjenu poruka u vlasništvu Tencenta. Sama po sebi ta činjenica nije značila nužno zlonamjernost jer mnogi pametni uređaji komuniciraju s neobičnim domenama, ali nastavak analize donio je daleko uznemirujuće dokaze. Hashley je uočila ranjivost povezanu sa SCADA sustavima, tehnologijom koja se koristi isključivo u industrijskim postrojenjima za kontrolu procesa poput onih u nuklearnim elektranama. Prisutnost takve ranjivosti u uređaju namijenjenom dnevnom boravku nema nikakvog logičnog objašnjenja osim namjernog ostavljanja stražnjih vrata za pristup.

Kutija je potom pokazala iznimno agresivno ponašanje unutar lokalne mreže. Neprestano je slala upite svim povezanim uređajima, ispitujući njihove IP i MAC adrese, a zatim je taj proces ponavljala tisućama puta u minuti. Taj takozvani ARP flood nije služio samo mapiranju mreže, već je omogućavao da se kutija lažno predstavi kao drugi uređaj i presretne njegov promet čim se on privremeno isključi s mreže. Na taj način uređaj je mogao vidjeti s kim komuniciraju računala u kući i potencijalno presresti osjetljive podatke.

Dodatna istraga otkrila je da ove kutije ne koriste službeni Android TV s Googleovim certifikatom, već zastarjelu open-source verziju iz 2021. godine s gomilom poznatih sigurnosnih propusta koje proizvođač nikada nije zakrpao. Android Debug Bridge, alat za programere koji omogućuje potpuni administrativni pristup uređaju, bio je tvornički aktiviran bez ikakve autentifikacije. To znači da je svatko tko zna adresu kutije mogao preuzeti potpunu kontrolu nad njom, instalirati što god želi i špijunirati sav promet koji prolazi kroz kućnu mrežu.

Na pojedinim primjercima Hashley je pronašla i unaprijed instaliran TeamViewer, softver za udaljeni pristup koji se inače koristi za tehničku podršku. Opremljen takvim arsenalom ranjivosti, uređaj je u biti funkcionirao kao digitalni konj koji omogućuje neovlašteni ulazak u domove milijuna Amerikanaca. Zanimljivo je da se prodaja nije odvijala samo preko velikih platformi poput Amazona i Walmarta, već i kroz mrežu od 500 amaterskih preprodavača koji su funkcionirali po principu višerazinskog marketinga, dobivajući nevjerojatnih 50 posto provizije od svake prodaje.

Nakon što je Hashley održala javnu konferenciju o svojim otkrićima, FBI joj je zabranio daljnje javno izlaganje o toj temi i pokrenuo opsežnu istragu. Razlog za tu tajnovitost postao je jasan kada je FBI u kolovozu 2025. objavio službeno upozorenje pod nazivom “Kućni uređaji spojeni na internet kao kriminalna pomagala”. Otkrili su da su ove naizgled bezazlene televizijske kutije dio gigantskog botneta nazvanog BadBox 2.0, mreže od 10 milijuna zaraženih uređaja rasprostranjenih diljem svijeta koji su pretvoreni u digitalne zombije.

Botnet je uključivao ne samo ove kutije, već i digitalne okvire za fotografije, pametne satove i druge kućanske aparate koji su ili zaraženi već u tvornici ili inficirani naknadno zbog nezakrpanih sigurnosnih rupa. Zaraženi uređaji komunicirali su s uslugama poput Grass.io, servisa za iznajmljivanje rezidencijalne internetske veze, čime su kriminalci na crnom tržištu prodavali pristup pravim američkim IP adresama za izvođenje prijevara, krađu identiteta i druge nezakonite aktivnosti. Tragovi su vodili prema IPIDI, najvećem svjetskom pružatelju rezidencijalnih proxyja sa sjedištem u Kini, za kojeg analitičari tvrde da predstavlja reinkarnaciju zloglasne kriminalne mreže 911 S5.

Krajem 2025. uslijedio je još jedan šokantan nastavak ove priče kada je botnet nazvan Kim Wolf izveo najveći DDoS napad ikada zabilježen, generirajući promet od 31 terabita u sekundi. U tom napadu sudjelovala su 2 milijuna zaraženih uređaja, od kojih su dvije trećine bili televizijski boxovi, uključujući upravo one modele koje je Hashley analizirala. Dvadesetdvogodišnji student informatike Benjamin otkrio je kako su napadači zaobišli zaštitu proxy servisa manipulacijom DNS postavki, čime su dobili pristup ne samo samom uređaju, već i cijeloj lokalnoj mreži žrtve.

Ono što ovu priču čini posebno poražavajućom jest činjenica da su mete bili pažljivo birane. Hashley je dokumentirala slučajeve zaposlenika naftnih i plinskih kompanija, baš poput njezina oca, koji su takve kutije dobili besplatno na kućnu adresu bez da su ih ikada naručili. Napadači su očito ciljali ljude koji rade u strateški važnim industrijama, nadajući se da će preko njihovih kućnih mreža pronaći put do povjerljivih korporativnih podataka, loše konfiguriranih VPN veza ili drugih osjetljivih informacija koje zaposlenici nesvjesno nose kući sa sobom.

Nevjerojatno je da se unatoč svim medijskim otkrićima i potvrdi FBI-a gotovo ništa nije promijenilo u ponašanju korisnika. Istraživanje portala The Verge pokazalo je da ogromna većina vlasnika uopće ne zna za opasnost ili ih jednostavno nije briga jer uređaj besprijekorno ispunjava svoje obećanje, isporučujući neograničenu količinu zabavnog sadržaja bez mjesečne naknade. Čak je i Hashleyin otac, prema njezinim riječima, isključivao kutiju samo dok bi ona bila u posjetu, da bi je čim ona ode ponovno uključio.

Ova priča razotkriva zastrašujuću stvarnost modernog doba u kojem su milijuni domova diljem svijeta pretvoreni u vojnike digitalne armije bez znanja svojih vlasnika. Uređaji koje s entuzijazmom unosimo u svoje domove, vođeni niskom cijenom i obećanjem beskonačne zabave, nerijetko nose skrivenu cijenu koja se ne plaća novcem već privatnošću, sigurnošću i suverenitetom nad vlastitim digitalnim prostorom. I dok god ta cijena ostaje nevidljiva, nitko ne želi odustati od povoljne pogodnosti, čak ni kad mu FBI kaže da u njegovoj mreži sjedi nepozvani gost.