IT之家 8 月 4 日消息，最新发布的一项安全研究显示，多款热门三星智能电视应用包含会与陌生人共享用户网络连接的代码，这可能使数百万台三星智能电视面临被恶意利用的风险。
根据应用开发者公布的数据，其中一些应用已被安装在数亿台智能电视中。研究人员还发现，至少有一款应用是一款简单的《吃豆人》（Pac-Man）游戏，不仅获得了三星官方推荐，还曾被放在智能电视应用商店“编辑精选”（Editor's Choice）栏目中重点展示。
这些应用内嵌了一种能够将陌生人的网络流量转发至普通家庭或办公网络的软件，这类技术被称为住宅代理网络（Residential Proxy，简称 Resproxy）。近年来，这类代理网络越来越多地与网络犯罪活动联系在一起。
研究指出，当用户打开包含住宅代理代码的应用后，智能电视就可能变成一个持续在线的“出口节点”（Exit Node），供外部用户借助其家庭网络访问互联网。即使用户关闭了应用，这一功能也可能继续在后台运行。
这项研究由挪威网络安全公司 Mnemonic 发布。研究人员认为，三星应用商店目前存在多项审核漏洞，使得大量质量较低的应用得以上架，其中部分应用包含可能导致用户网络被恶意利用的代码。
许多此类应用本身只是极其简单的“外壳程序”，代码仅有几行，其作用只是从其他网站加载内容，例如小游戏等。由于应用本体几乎没有实际内容，因此审核人员看到的往往只是这些简单代码，而无法真正检查应用实际加载的远程内容。
Mnemonic 攻击安全顾问 Harrison Sand 表示：“审核通过的内容，并不一定就是用户最终实际运行的内容。”
在 TechCrunch 就研究结果向三星寻求回应后，三星发表声明称，将禁止任何会共享用户网络连接的应用，并移除所有包含此类功能的应用。
三星发言人表示，公司已经禁止包含代理功能的新应用提交审核，目前正在推出覆盖整个智能电视平台的更严格开发者政策，明确禁止集成住宅代理 SDK，同时正在识别并下架应用商店中所有包含此类组件的应用。
IT之家注意到，三星采取这一行动之前，LG 已于上个月宣布将禁止包含住宅代理软件的应用。此前有调查发现，LG 应用商店中约 42% 的应用都包含可将智能电视加入住宅代理网络的功能。
研究还揭示了住宅代理网络的运行机制。
除了智能电视外，住宅代理代码还广泛存在于智能手机应用、电子相框、Android 电视盒子等消费电子产品中，这些设备都可能被用来共享用户的互联网连接。
只要安装了住宅代理应用的设备联网，外部用户便可以付费租用其网络出口。
住宅代理技术本身并不违法。一些用户会利用它绕过网络审查，将流量伪装成来自普通家庭网络。例如，越来越多的 AI 公司也会借助住宅代理网络，从互联网多个来源同时抓取公开数据，用于训练人工智能模型。
不过，多家网络安全公司指出，住宅代理网络也因被黑客和间谍广泛利用而声名狼藉，他们可以借此隐藏真实身份，发动网络攻击或窃取数据。
对于安全厂商来说，住宅代理网络极难识别，因为相关网络流量看起来与普通家庭用户完全一致，而不像来自境外黑客的恶意攻击。此外，流经住宅代理网络的数据通常经过加密，几乎无法解密和检查其具体内容。
为了进一步分析这些应用的行为，Mnemonic 的 Harrison Sand 对三星智能电视进行了 Root 操作，获得了系统底层权限，并监控了电视所有进出网络流量，包括哪些应用正在将电视的网络连接共享给其他用户。
他发现，《吃豆人》应用内嵌了以色列公司 Bright Data 提供的住宅代理代码。Bright Data 运营着覆盖全球数百万住宅网络的代理服务，同时还经营一个出售网络抓取数据集的平台。这些数据集部分来自大量被纳入代理网络的智能电视出口节点，可用于同时从多个网站下载海量公开数据，以绕过网站针对自动抓取设置的防护机制。
Sand 表示，《吃豆人》应用启动时确实会加载 Bright Data 的住宅代理代码，但这并不会立即将智能电视变成代理节点。相关代码默认处于休眠状态，只有用户在弹出的授权页面中点击同意后，代理功能才会被激活，并持续在后台运行，直到用户卸载该应用。
不过，他也警告称，如果应用开发者对远程服务器进行一次“简单的代码修改”，理论上就可能无需用户再次操作，瞬间将数亿台智能电视转变为一个潜在的恶意僵尸网络。
通过分析电视中的网络流量，Sand 还发现，其中相当一部分流量疑似被用于大规模抓取 LinkedIn 用户资料以及收集 AI 模型训练数据。不过，他强调，自己看到的流量仅占 Bright Data 整个代理网络中的极小一部分。
截至报道发布时，Bright Data 尚未对此事作出回应。
广告声明：文内含有的对外跳转链接（包括不限于超链接、二维码、口令等形式），用于传递更多信息，节省甄选时间，结果仅供参考，IT之家所有文章均包含本声明。