Digital Autopsy: IPTV Investigation

Resumo: Uma análise forense completa do tráfego de rede de uma TV Box pirata, revelando conexões suspeitas, telemetria excessiva e potenciais riscos de segurança.

O Início da Suspeita

Como muitos brasileiros, fiquei curioso sobre o funcionamento interno das famosas "TV Boxes" que prometem canais ilimitados. A promessa é tentadora: "filmes e séries de graça". Mas, como estudante de engenharia com foco em segurança, sei que se você não paga pelo produto, você é o produto.

Minha curiosidade não era sobre o catálogo de filmes, e sim sobre o que mais essa caixinha preta estava fazendo na minha rede. Será que ela apenas baixa vídeos? Ou será que ela está enviando meus dados para algum lugar? Ela está minerando criptomoedas? Fazendo parte de uma botnet?

Decidi investigar. Sem abrir o hardware, mas "escutando" cada sussurro digital que ela emitia. O que encontrei levantou sérias preocupações de privacidade e segurança.

Metodologia: A Escuta

Para realizar essa investigação, montei um laboratório controlado usando Linux Mint e ferramentas de código aberto. O desafio era interceptar o tráfego de um dispositivo que, em teoria, fala diretamente com o roteador.

Minha caixa de ferramentas:

nmap: Para encontrar a TV Box na rede e descobrir suas portas abertas.
arpspoof: Para enganar a TV Box e fazê-la pensar que meu laptop era o roteador (ataque Man-in-the-Middle).
tcpdump: Para capturar todos os pacotes de dados para análise posterior.
Wireshark/Tshark: Para dissecar o tráfego capturado.

O Ataque Man-in-the-Middle (MITM)

Para capturar os dados, precisei me colocar entre a TV Box e o Roteador. Em uma rede normal, eles conversam diretamente. Com o ARP Spoofing, eu engano ambos, forçando o tráfego a passar pelo meu computador antes de ir para a internet.

Diagrama mostrando ataque ARPSpoofing interceptando tráfego entre TV Box e Roteador via laptop do investigador

sudo arpspoof -i enp6s0 -t 192.168.0.158 -r 192.168.0.1
0:77:91:e5:bd:00 1e:a6:f7:9a:5b:ba 0806 42: arp reply 192.168.0.158 is-at 84:7b:eb:e5:db:23
0:77:91:e5:bd:00 1e:a6:f7:9a:5b:ba 0806 42: arp reply 192.168.0.1 is-at 84:7b:eb:e5:db:23

Log real do terminal: O comando arpspoof enganando os dispositivos para redirecionar o tráfego.

Evidências Coletadas

Após capturar alguns gigabytes de tráfego, analisei os logs. O silêncio da sala contrastava com o barulho digital que a TV Box fazia.

$ tshark -r iptv_clean.pcap -c 5
    1   0.000000 192.168.0.158 → 192.168.0.1  DNS 75 Standard query 0x1234 A tigtvliveslb.yh32df8f.click
    2   0.054321 192.168.0.1 → 192.168.0.158  DNS 91 Standard query response 0x1234 A 45.134.142.121
    3   0.102341 192.168.0.158 → 45.134.142.121 TCP 74 49234 → 9999 [SYN] Seq=0 Win=29200 Len=0 MSS=1460
    4   0.124512 192.168.0.158 → 208.115.219.43 TCP 74 49235 → 53419 [SYN] Seq=0 Win=29200 Len=0
    5   0.154123 192.168.0.158 → 203.119.217.116 HTTP 214 GET /api/v1/telemetry HTTP/1.1

Log reconstruído dos pacotes: Note as conexões para domínios estranhos e portas não padrão.

1. O "Phone Home" Constante

Mesmo quando a TV parecia desligada (standby), ela mantinha uma comunicação frenética com servidores externos. Encontrei uma quantidade alarmante de chamadas para gigantes de dados chineses:

amdcopen.m.taobao.com       <-- Alibaba Mobile Data
umengjmacs.m.taobao.com     <-- Umeng Analytics
ulogs.umeng.com             <-- Logs de usuário

2. Domínios Suspeitos (DGA?)

Mais preocupante que a telemetria corporativa foram as requisições para domínios com nomes que parecem gerados aleatoriamente, uma característica clássica de C2 (Comando e Controle de Botnets):

tigtvliveslb.yh32df8f.click
ffsqqm.m45504d3.xyz (TLDs .xyz aleatórios são forte indício de botnet)
pu9z3cca.trumpary.com ("Trumpary" é um padrão DGA conhecido)

3. A Prova do "Crime": Payload Descriptografado

O arquivo hosts capturado não era um arquivo de texto comum, mas um payload ofuscado em Base64. A análise sugeriu que ele continha uma lista de novos servidores de comando e controle ou instruções para injeção de DNS.

Análise Técnica: Principais Destinos de Rede

Rank	IP de Destino	Porta	Análise
#1	10.42.0.254	57893	Tráfego Interno (Broadcast)
#2	52.85.78.52	80	AWS Cloudfront (Stream de Vídeo)
#3	208.115.219.43	53419	Porta Alta P2P: Extremamente suspeito.
#4	154.47.25.25	—	IP Desconhecido: Tráfego sem porta identificada.
#5	45.134.142.121	9999	RAT/Trojan: Porta 9999 conhecida por Trojans. IP originário da Rússia/Europa.
#6	192.168.0.1	1900	UPnP: Tentativa ativa de abrir portas no roteador.

Veredito

Minha conclusão é clara: Este dispositivo não é seguro.

O dispositivo age como uma sonda na rede interna, enviando dados de uso e mantendo canais de comunicação abertos com servidores obscuros. Ele exibe comportamento de malware (DGA, comunicações em portas de Trojan).

Recomendações de Segurança

Isole o Dispositivo: Use uma Guest VLAN.
Bloqueie via DNS: Use Pi-hole para bloquear taobao.com e umeng.com.
Segregação Total: Jamais acesse bancos na mesma rede que este dispositivo.

🔗 Conexão com TerraSafe

Esta investigação prática exemplifica a mesma mentalidade de detecção de anomalias que apliquei no TerraSafe, meu projeto de conclusão de curso (nota 9,7/10). Da mesma forma que identifiquei padrões suspeitos no tráfego de rede — domínios DGA, portas de Trojan, telemetria excessiva — o TerraSafe utiliza Machine Learning (Isolation Forest) para detectar configurações anômalas em infraestrutura cloud. A diferença: o TerraSafe automatiza esse processo de detecção, eliminando a necessidade de análise manual.

→ Conheça a arquitetura do TerraSafe

Fique seguro,
@oguarni

Summary: A complete forensic analysis of network traffic from a pirated TV Box, revealing suspicious connections, excessive telemetry, and potential security risks.

The Suspicion

Like many Brazilians, I was curious about the inner workings of the famous "TV Boxes" that promise unlimited channels. The promise is tempting: "free movies and series". But as an engineering student with a security-first mindset, I know that if you are not paying for the product, you are the product.

My curiosity wasn't about the movie catalog, but rather about what else this little black box was doing on my network. Is it just downloading videos? Or is it sending my data somewhere? Is it mining cryptocurrency? Is it part of a botnet?

I decided to investigate. Without opening the hardware, but by "listening" to every digital whisper it emitted. What I found raised serious privacy and security concerns.

Methodology: The Wiretap

To conduct this investigation, I set up a controlled lab using Linux Mint and open-source tools. The challenge was to intercept traffic from a device that, in theory, talks directly to the router.

My Toolbox:

nmap: To find the TV Box on the network and discover open ports.
arpspoof: To trick the TV Box into thinking my laptop was the router (Man-in-the-Middle attack).
tcpdump: To capture all data packets for later analysis.
Wireshark/Tshark: To dissect the captured traffic.

The Man-in-the-Middle (MITM) Attack

To capture the data, I needed to place myself between the TV Box and the Router. In a normal network, they talk directly. With ARP Spoofing, I fool both of them, forcing traffic to pass through my computer before going to the internet.

Diagram showing ARPSpoofing attack intercepting traffic between TV Box and Router via investigator laptop

sudo arpspoof -i enp6s0 -t 192.168.0.158 -r 192.168.0.1
0:77:91:e5:bd:00 1e:a6:f7:9a:5b:ba 0806 42: arp reply 192.168.0.158 is-at 84:7b:eb:e5:db:23
0:77:91:e5:bd:00 1e:a6:f7:9a:5b:ba 0806 42: arp reply 192.168.0.1 is-at 84:7b:eb:e5:db:23

Actual terminal log: The arpspoof command tricking devices to redirect traffic.

Collected Evidence

After capturing a few gigabytes of traffic, I analyzed the logs. The silence of the room contrasted with the digital noise the TV Box was making.

$ tshark -r iptv_clean.pcap -c 5
    1   0.000000 192.168.0.158 → 192.168.0.1  DNS 75 Standard query 0x1234 A tigtvliveslb.yh32df8f.click
    2   0.054321 192.168.0.1 → 192.168.0.158  DNS 91 Standard query response 0x1234 A 45.134.142.121
    3   0.102341 192.168.0.158 → 45.134.142.121 TCP 74 49234 → 9999 [SYN] Seq=0 Win=29200 Len=0 MSS=1460
    4   0.124512 192.168.0.158 → 208.115.219.43 TCP 74 49235 → 53419 [SYN] Seq=0 Win=29200 Len=0
    5   0.154123 192.168.0.158 → 203.119.217.116 HTTP 214 GET /api/v1/telemetry HTTP/1.1

Reconstructed packet log: Note connections to strange domains and non-standard ports.

1. Constant "Phone Home"

Even when the TV seemed off (standby), it kept up frantic communication with external servers. I found an alarming amount of calls to Chinese data giants:

amdcopen.m.taobao.com       <-- Alibaba Mobile Data
umengjmacs.m.taobao.com     <-- Umeng Analytics
ulogs.umeng.com             <-- User Logs

2. Suspicious Domains (DGA?)

More worrying than corporate telemetry were requests for domains with names that appear randomly generated, a classic characteristic of C2 (Botnet Command and Control):

tigtvliveslb.yh32df8f.click
ffsqqm.m45504d3.xyz (Random .xyz TLDs are a strong botnet indicator)
pu9z3cca.trumpary.com ("Trumpary" is a known DGA pattern)

3. The "Smoking Gun": Decrypted Payload

The captured hosts file was not a regular text file, but an obfuscated payload in Base64. Analysis suggested it contained a list of new command and control servers or DNS injection instructions.

Technical Analysis: Top Network Destinations

Rank	Destination IP	Port	Analysis
#1	10.42.0.254	57893	Internal Traffic (Broadcast)
#2	52.85.78.52	80	AWS Cloudfront (Video Stream)
#3	208.115.219.43	53419	High P2P Port: Extremely suspicious.
#4	154.47.25.25	—	Unknown IP: Traffic with no identified port.
#5	45.134.142.121	9999	RAT/Trojan: Port 9999 known for Trojans. IP from Russia/Europe.
#6	192.168.0.1	1900	UPnP: Active attempt to open ports on router.

Verdict

My conclusion is clear: This device is not safe.

The device acts as a probe on the internal network, uploading usage data and keeping communication channels open with shady servers. It exhibits malware behavior (DGA, Trojan port communications).

Security Recommendations

Isolate the Device: Use a Guest VLAN.
Block via DNS: Use Pi-hole to block taobao.com and umeng.com.
Total Segregation: Never access banking on the same network as this device.

🔗 Connection to TerraSafe

This hands-on investigation exemplifies the same anomaly-detection mindset I applied in TerraSafe, my capstone project (Grade 9.7/10). Just as I identified suspicious patterns in network traffic — DGA domains, Trojan ports, excessive telemetry — TerraSafe uses Machine Learning (Isolation Forest) to detect anomalous configurations in cloud infrastructure. The difference: TerraSafe automates this detection process, eliminating the need for manual analysis.

→ Explore TerraSafe Architecture

Stay safe,
@oguarni

Autópsia Digital: Investigando uma TV Box "Tigre"