Autópsia Digital: Investigando uma TV Box “Tigre”

Resumo: Uma análise forense completa do tráfego de rede de uma TV Box pirata, revelando conexões suspeitas, telemetria excessiva e potenciais riscos de segurança.

O Início da Suspeita

Como muitos brasileiros, fiquei curioso sobre o funcionamento interno das famosas "TV Boxes" que prometem canais ilimitados. A promessa é tentadora: "filmes e séries de graça". Mas, como engenheiro de software com foco em segurança, sei que se você não paga pelo produto, você é o produto.

Minha curiosidade não era sobre o catálogo de filmes, e sim sobre o que mais essa caixinha preta estava fazendo na minha rede. Será que ela apenas baixa vídeos? Ou será que ela está enviando meus dados para algum lugar? Ela está minerando criptomoedas? Fazendo parte de uma botnet?

Decidi investigar. Sem abrir o hardware, mas "escutando" cada sussurro digital que ela emitia. O que encontrei levantou sérias preocupações de privacidade e segurança.

Metodologia: Interceptação de Tráfego

Para realizar essa investigação, montei um laboratório controlado usando Linux Mint e ferramentas de código aberto. O desafio era interceptar o tráfego de um dispositivo que, em teoria, fala diretamente com o roteador.

⚠️ Nota legal e ética: toda a investigação foi conduzida em equipamento próprio, na minha própria rede e em laboratório isolado, com finalidade exclusivamente educacional e defensiva. Executar ARP spoofing ou interceptar tráfego em redes de terceiros sem autorização é ilegal e pode constituir crime.

Minha caixa de ferramentas:

nmap: para encontrar a TV Box na rede e descobrir suas portas abertas.
arpspoof: para enganar a TV Box e fazê-la pensar que meu laptop era o roteador (ataque Man-in-the-Middle).
tcpdump: para capturar todos os pacotes de dados para análise posterior.
Wireshark/Tshark: para dissecar o tráfego capturado.

O Ataque Man-in-the-Middle (MITM)

Para capturar os dados, precisei me colocar entre a TV Box e o roteador. Em uma rede normal, eles conversam diretamente. Com o ARP Spoofing, eu engano ambos, forçando o tráfego a passar pelo meu computador antes de ir para a internet.

Diagrama mostrando ataque ARP spoofing interceptando tráfego entre TV Box e roteador via laptop do investigador

sudo arpspoof -i enp6s0 -t 192.168.0.158 -r 192.168.0.1
84:7b:eb:e5:db:23 1e:a6:f7:9a:5b:ba 0806 42: arp reply 192.168.0.1 is-at 84:7b:eb:e5:db:23
84:7b:eb:e5:db:23 0:77:91:e5:bd:00 0806 42: arp reply 192.168.0.158 is-at 84:7b:eb:e5:db:23

Log real do terminal: O comando arpspoof enganando os dispositivos para redirecionar o tráfego.

Evidências Coletadas

Após capturar alguns gigabytes de tráfego, analisei os logs. O silêncio da sala contrastava com o barulho digital que a TV Box fazia.

$ tshark -r iptv_clean.pcap -c 5
    1   0.000000 192.168.0.158 → 192.168.0.1  DNS 75 Standard query 0x1234 A tigtvliveslb.yh32df8f.click
    2   0.054321 192.168.0.1 → 192.168.0.158  DNS 91 Standard query response 0x1234 A 45.134.142.121
    3   0.102341 192.168.0.158 → 45.134.142.121 TCP 74 49234 → 9999 [SYN] Seq=0 Win=29200 Len=0 MSS=1460
    4   0.124512 192.168.0.158 → 208.115.219.43 TCP 74 49235 → 53419 [SYN] Seq=0 Win=29200 Len=0
    5   0.154123 192.168.0.158 → 203.119.217.116 HTTP 214 GET /api/v1/telemetry HTTP/1.1

Log reconstruído dos pacotes: Note as conexões para domínios estranhos e portas não padrão.

1. O "Phone Home" Constante

Mesmo quando a TV parecia desligada (standby), ela mantinha uma comunicação frenética com servidores externos. Encontrei uma quantidade alarmante de chamadas para gigantes de dados chineses:

amdcopen.m.taobao.com       <-- Alibaba Mobile Data
umengjmacs.m.taobao.com     <-- Umeng Analytics
ulogs.umeng.com             <-- Logs de usuário

2. Domínios Suspeitos (DGA?)

Mais preocupante que a telemetria corporativa foram as requisições para domínios com nomes que parecem gerados aleatoriamente. Esse padrão é compatível com DGA, técnica por vezes usada em infraestrutura de C2 (comando e controle), mas os nomes isoladamente não comprovam essa finalidade:

tigtvliveslb.yh32df8f.click
ffsqqm.m45504d3.xyz (.xyz é um TLD barato e descartável, frequentemente abusado por infraestrutura maliciosa)
pu9z3cca.trumpary.com (subdomínio aleatório sobre domínio sem sentido — estrutura compatível com DGA)

3. Payload Decodificado

O arquivo hosts capturado não era um arquivo de texto comum, mas um payload ofuscado em Base64 (codificação, não criptografia). Após decodificá-lo, o conteúdo sugeria uma lista de novos servidores de comando e controle ou instruções para injeção de DNS.

Análise Técnica: Principais Destinos de Rede

Posição	IP de Destino	Porta	Análise
#1	10.42.0.254	57893	Tráfego interno (RFC1918 — rede local do laboratório)
#2	52.85.78.52	80	AWS CloudFront (streaming de vídeo)
#3	208.115.219.43	53419	Porta efêmera alta: destino em porta dinâmica (49152+), um sinal que exige correlação com o protocolo e o payload.
#4	154.47.25.25	—	IP desconhecido: tráfego sem porta identificada.
#5	45.134.142.121	9999	Porta não padrão: a porta 9999 pode atender serviços legítimos ou ferramentas de acesso remoto; o destino externo exige análise adicional do payload.
#6	192.168.0.1	1900	UPnP/SSDP: protocolo que pode ser explorado para abrir portas no roteador.

Veredito

Minha conclusão operacional: não considero este dispositivo seguro para uso na rede principal.

A captura mostra telemetria persistente e comunicação com destinos não identificados, inclusive por portas incomuns. Esses padrões justificam isolamento e investigação adicional, mas o tráfego de rede, sozinho, não comprova infecção por malware nem participação em botnet.

Recomendações de Segurança

Isole o Dispositivo: use uma VLAN de convidados.
Bloqueie via DNS: Use Pi-hole para bloquear taobao.com e umeng.com.
Segregação Total: jamais acesse serviços bancários na mesma rede que este dispositivo.

🔗 Conexão com TerraVault

Esta investigação prática exemplifica a mesma mentalidade de detecção de anomalias que apliquei no TerraVault, meu projeto de conclusão de curso. Assim como padrões incomuns no tráfego de rede orientam uma investigação, o TerraVault combina regras determinísticas com um Isolation Forest para priorizar configurações estruturalmente atípicas. Ele automatiza a triagem, mas não substitui a análise humana nem trata anomalia como veredito de risco.

→ Conheça a arquitetura do TerraVault

Fique seguro,
@oguarni

Summary: A complete forensic analysis of network traffic from a pirated TV Box, revealing suspicious connections, excessive telemetry, and potential security risks.

The Suspicion

Like many Brazilians, I was curious about the inner workings of the famous "TV Boxes" that promise unlimited channels. The promise is tempting: "free movies and series". But as a software engineer with a security-first mindset, I know that if you are not paying for the product, you are the product.

My curiosity wasn't about the movie catalog, but rather about what else this little black box was doing on my network. Is it just downloading videos? Or is it sending my data somewhere? Is it mining cryptocurrency? Is it part of a botnet?

I decided to investigate. Without opening the hardware, but by "listening" to every digital whisper it emitted. What I found raised serious privacy and security concerns.

Methodology: Traffic Interception

To conduct this investigation, I set up a controlled lab using Linux Mint and open-source tools. The challenge was to intercept traffic from a device that, in theory, talks directly to the router.

⚠️ Legal & ethical note: this entire investigation was carried out on my own equipment, on my own network and inside an isolated lab, strictly for educational and defensive purposes. Running ARP spoofing or intercepting traffic on networks you do not own — without authorization — is illegal in most jurisdictions.

My Toolbox:

nmap: to find the TV Box on the network and discover open ports.
arpspoof: to trick the TV Box into thinking my laptop was the router (Man-in-the-Middle attack).
tcpdump: to capture all data packets for later analysis.
Wireshark/Tshark: to dissect the captured traffic.

The Man-in-the-Middle (MITM) Attack

To capture the data, I needed to place myself between the TV Box and the router. In a normal network, they talk directly. With ARP Spoofing, I fool both of them, forcing traffic to pass through my computer before going to the internet.

Diagram showing ARP spoofing attack intercepting traffic between TV Box and router via investigator laptop

sudo arpspoof -i enp6s0 -t 192.168.0.158 -r 192.168.0.1
84:7b:eb:e5:db:23 1e:a6:f7:9a:5b:ba 0806 42: arp reply 192.168.0.1 is-at 84:7b:eb:e5:db:23
84:7b:eb:e5:db:23 0:77:91:e5:bd:00 0806 42: arp reply 192.168.0.158 is-at 84:7b:eb:e5:db:23

Actual terminal log: The arpspoof command tricking devices to redirect traffic.

Collected Evidence

After capturing a few gigabytes of traffic, I analyzed the logs. The silence of the room contrasted with the digital noise the TV Box was making.

$ tshark -r iptv_clean.pcap -c 5
    1   0.000000 192.168.0.158 → 192.168.0.1  DNS 75 Standard query 0x1234 A tigtvliveslb.yh32df8f.click
    2   0.054321 192.168.0.1 → 192.168.0.158  DNS 91 Standard query response 0x1234 A 45.134.142.121
    3   0.102341 192.168.0.158 → 45.134.142.121 TCP 74 49234 → 9999 [SYN] Seq=0 Win=29200 Len=0 MSS=1460
    4   0.124512 192.168.0.158 → 208.115.219.43 TCP 74 49235 → 53419 [SYN] Seq=0 Win=29200 Len=0
    5   0.154123 192.168.0.158 → 203.119.217.116 HTTP 214 GET /api/v1/telemetry HTTP/1.1

Reconstructed packet log: Note connections to strange domains and non-standard ports.

1. Constant "Phone Home"

Even when the TV seemed off (standby), it kept up frantic communication with external servers. I found an alarming amount of calls to Chinese data giants:

amdcopen.m.taobao.com       <-- Alibaba Mobile Data
umengjmacs.m.taobao.com     <-- Umeng Analytics
ulogs.umeng.com             <-- User Logs

2. Suspicious Domains (DGA?)

More worrying than corporate telemetry were requests for domains with names that appear randomly generated. This pattern is consistent with DGA, a technique sometimes used in C2 (command-and-control) infrastructure, but the names alone do not prove that purpose:

tigtvliveslb.yh32df8f.click
ffsqqm.m45504d3.xyz (.xyz is a cheap, disposable TLD frequently abused by malicious infrastructure)
pu9z3cca.trumpary.com (random subdomain over a nonsense domain — a structure consistent with DGA)

3. Decoded Payload

The captured hosts file was not a regular text file, but a payload obfuscated with Base64 (encoding, not encryption). Once decoded, the contents suggested a list of new command-and-control servers or DNS injection instructions.

Technical Analysis: Top Network Destinations

Rank	Destination IP	Port	Analysis
#1	10.42.0.254	57893	Internal RFC1918 traffic (local lab network)
#2	52.85.78.52	80	AWS CloudFront (video stream)
#3	208.115.219.43	53419	High ephemeral port: destination on a dynamic port (49152+), a signal that requires correlation with the protocol and payload.
#4	154.47.25.25	—	Unknown IP: traffic with no identified port.
#5	45.134.142.121	9999	Non-standard port: port 9999 can serve legitimate services or remote-access tools; the external destination requires further payload analysis.
#6	192.168.0.1	1900	UPnP/SSDP: protocol that can be abused to open ports on the router.

Verdict

My operational conclusion: I do not consider this device safe for use on the primary network.

The capture shows persistent telemetry and communication with unidentified destinations, including over unusual ports. These patterns justify isolation and further investigation, but network traffic alone does not prove malware infection or botnet participation.

Security Recommendations

Isolate the Device: use a guest VLAN.
Block via DNS: Use Pi-hole to block taobao.com and umeng.com.
Total Segregation: never access banking services on the same network as this device.

🔗 Connection to TerraVault

This hands-on investigation exemplifies the same anomaly-detection mindset I applied in TerraVault, my capstone project. Just as unusual network patterns guide an investigation, TerraVault combines deterministic rules with an Isolation Forest to prioritize structurally atypical configurations. It automates triage, but it does not replace human analysis or treat anomaly as a risk verdict.

→ Explore TerraVault Architecture

Stay safe,
@oguarni

Autópsia Digital: Investigando uma TV Box "Tigre"