Smart TV di ruang keluarga adalah node dalam ekonomi scraping AI

 (blog.includesecurity.com)
1 poin oleh GN⁺ 3 jam lalu | 1 komentar | Bagikan ke WhatsApp
  • Bright Data SDK yang disematkan ke aplikasi konsumen, dengan persetujuan pengguna, mengubah ponsel atau smart TV menjadi node keluar proxy residensial dan merutekan lalu lintas web scraping pelanggan melalui IP rumahan
  • Proxy residensial adalah sarana обход memintas untuk mencapai situs target dengan IP pelanggan residensial berbayar di lingkungan ketika Cloudflare, DataDome, HUMAN, dan lainnya membatasi atau memblokir permintaan dari IP cloud yang sudah dikenal
  • TV terkoneksi tidak memiliki kendala baterai, selalu terhubung ke Wi‑Fi, dan berjalan 24/7 dalam keadaan siaga, sehingga menjadi kondisi proxy dengan persistensi dan kemungkinan dibiarkan yang lebih besar daripada ponsel
  • SDK iOS menerima ambang idle, batas bandwidth, dan daftar mitra dari endpoint konfigurasi tanpa autentikasi, lalu membuka tunnel peer WebSocket untuk menangani telemetri status perangkat dan tugas scraping cmd_tun
  • Pertahanan berpusat pada pemblokiran DNS proxyjs.* dan clientsdk.*, pemfilteran SNI, deteksi sidik jari sertifikat TLS, serta pemindaian biner aplikasi MDM; sementara use_netifs di iOS menjadi batasan yang menghindari visibilitas berbasis VPN

Gambaran umum

  • Terlepas dari penolakan tingkat komunitas terhadap pembangunan pusat data untuk meningkatkan kapabilitas AI, ada struktur di mana perangkat di dalam rumah dapat digunakan untuk pengumpulan data terdistribusi bagi pelatihan AI
  • Bright Data menjual akses ke jaringan proxy residensial berisi 400M+ alamat IP rumahan yang digunakan pelanggan untuk merutekan lalu lintas web scraping, dengan sumber pasokan berasal dari SDK yang disematkan ke aplikasi konsumen
  • SDK tersebut, dengan persetujuan pengguna, mengubah ponsel atau smart TV menjadi node keluar; analisis ini membahas cara kerja SDK, platform distribusinya, dan alasan TV yang terhubung ke internet cocok sebagai proxy web scraping untuk model AI

Mengapa ini penting sekarang

  • Perusahaan AI bergantung pada konten hasil web scraping untuk pra-pelatihan, search/retrieval-augmented, agent grounding, dan fitur pencarian
  • Web modern adalah lingkungan yang tidak mudah discrape dari data center, dan Cloudflare, DataDome, HUMAN serta lainnya membatasi atau memblokir permintaan dari IP cloud yang sudah dikenal
  • Alternatifnya adalah proxy residensial yang mencapai situs target dari IP pelanggan residensial berbayar, seperti koneksi pelanggan Comcast atau T-Mobile
  • Kutipan dari laporan Krebs pada Oktober 2025 menyatakan bahwa “kelebihan proxy dari Aisuru dan sumber lain mendorong upaya panen data berskala besar yang terkait dengan berbagai proyek AI”
  • Pengukuran akademik yang menelusur hingga 2019 menyimpulkan bahwa jaringan semacam ini sangat dominan disalahgunakan, dan FBI juga mengeluarkan imbauan resmi pada awal tahun ini
  • Sebagian besar liputan sebelumnya berfokus pada pasokan proxy residensial ilegal seperti botnet Aisuru dan Kimwolf, aplikasi yang ditrojanisasi seperti PROXYLIB, dan perangkat keras IoT yang sudah terinfeksi sebelumnya seperti IPIDEA
  • Sisi pasokan legal mendapat jauh lebih sedikit telaah; Bright Data, menurut standar pemasarannya sendiri, adalah jaringan proxy residensial terbesar di dunia dan mengiklankan “150M+ IPs” berbasis SDK persetujuan yang disematkan di aplikasi mitra

Mengapa TV terkoneksi adalah proxy yang ideal

Faktor Ponsel Smart TV / CTV
Daya Menggunakan baterai hampir sepanjang hari Selalu tersambung ke listrik
Jaringan Wi‑Fi + seluler Selalu Wi‑Fi, berkecepatan tinggi
Waktu aktif Intermiten 24/7 dalam keadaan siaga
Batas bandwidth Rendah, dibatasi seluler Praktis tanpa batas
Perhatian pengguna Digunakan secara aktif Sering dibiarkan
UI persetujuan Teks di layar ponsel Teks yang dinavigasi dengan tombol arah remote TV
Pengawasan perusahaan/keluarga Lebih tinggi, seperti MDM dan mobile EDR Praktis tidak ada
  • TV adalah perangkat yang tidak pernah mencapai baterai 1%, tidak sering berpindah antarjaringan Wi‑Fi, dan tidak terkunci saat pengguna tidur
  • Beberapa penerbit mitra mengungkapkan hubungan mereka dengan Bright Data dalam kebijakan privasi, dan kebijakan privasi PlayWorks adalah salah satu contohnya
  • Pengungkapan dalam kebijakan privasi bukan titik kontrol yang cocok untuk TV; sulit menggulir dokumen hukum dengan tombol arah remote, dan dialog persetujuan dalam aplikasi juga tidak dirancang untuk menyampaikan bahwa pelanggan Bright Data berbayar akan merutekan lalu lintas scraping melalui internet rumah pengguna
  • Layar opt-in aplikasi Roku Petflix yang didokumentasikan oleh The Verge menggunakan kalimat bahwa “untuk mengurangi iklan dan menikmatinya secara gratis, izinkan Bright Data sesekali menggunakan sumber daya luang dan alamat IP perangkat Anda untuk mengunduh data web publik di internet”
  • Dialog Petflix memakai kata “sesekali”, tetapi max_bw_monthly_wifi: 200,000,000,000 dalam konfigurasi SDK yang dapat diakses publik menunjukkan anggaran default Wi‑Fi bulanan sebesar 200GB

Pihak yang disebut Bright Data sebagai mitra

  • Bright Data mengekspos endpoint manifest mitra yang bisa diambil siapa saja tanpa autentikasi
  • Item identifikasi dengan kepercayaan tinggi berdasarkan sumber publik
Partner ID Entitas Skala
playworks_digital PlayWorks Digital Ltd 400+ judul game CTV, menjangkau sekitar 250M rumah tangga TV melalui Comcast, Sky, Cox, LG, Samsung, Vizio, Roku
cloudtv CloudTV Terintegrasi di 125+ merek TV dan 15+ OEM
longvision_media_hong_kong_co_limited Longvision Media HK (LongTV) 5M pengguna OTT di seluruh Hong Kong dan Malaysia
viber_media_s_r_l Viber Media S.à r.l. (Rakuten) 250M–820M pengguna bulanan Viber Messenger
supercent_inc Supercent Penerbit mobile Korea peringkat 1 berdasarkan unduhan pada 2023
moonfrog_labs_private_limited Moonfrog Labs Teen Patti Gold saja sekitar 10M MAU, diakuisisi seharga $90 juta
hola_networks Hola Networks Perusahaan induk dalam garis keturunan Bright Data, dengan jumlah pengguna puncak historis Hola menurut pemasaran masa lalu berkisar dari puluhan juta hingga sekitar 100M+
  • desoline, free_time, ott_studio, global_microtrading, m_m_media, easystaff_lp ada di manifest, tetapi merupakan entri yang sulit diidentifikasi melalui sumber publik
  • bright_screensavers, bright_videos, brightdata adalah aplikasi milik Bright Data sendiri
  • Fakta bahwa nama-nama tersebut ada di pengaturan Bright Data menunjukkan kemungkinan pernah ada integrasi pada suatu waktu, tetapi bukan bukti langsung bahwa aplikasi yang saat ini didistribusikan oleh penerbit tertentu memuat SDK itu di lingkungan operasional
  • Yang dibuktikan langsung oleh daftar mitra adalah bahwa Bright Data menyebarkan daftar ini ke endpoint publik tanpa autentikasi, dan bahwa setidaknya tiga operator yang berfokus pada CTV seperti PlayWorks, CloudTV, dan Longvision memonetisasi perangkat pengguna sebagai node keluar proxy residensial
  • Menurut materi pemasaran PlayWorks sendiri, perusahaan itu mengklaim distribusi CTV di platform TV utama dan ISP secara luas, dengan jangkauan hingga ratusan juta rumah tangga
Iklan

Cara Bright Data SDK mengubah perangkat pengguna menjadi node keluar proxy residensial

  • Bright Data SDK adalah produk komersial yang didokumentasikan secara publik, dengan dokumentasi integrasi SDK untuk publisher dan varian JavaScript untuk web

  • Analisis ini disusun berdasarkan reverse engineering framework iOS yang sedang didistribusikan dan pengukuran lalu lintas runtime selama 30 hari

  • SDK didistribusikan dalam bentuk framework iOS brdsdk.framework di dalam aplikasi mitra

  • Konfigurasi tanpa autentikasi

    • Saat dijalankan, SDK memanggil permintaan berikut setiap kali
    • GET https://clientsdk.bright-sdk.com/sdk_config_ios.json/…;
    • Endpoint ini berfungsi tanpa autentikasi yang berarti, dan server hanya memeriksa dua parameter query: appid, yaitu bundle ID aplikasi, dan ver, yaitu string versi SDK
    • Jika diberikan bundle ID yang dapat ditemukan di listing App Store aplikasi mitra, string versi SDK, dan UUID yang dibuat secara acak, endpoint akan mengembalikan konfigurasi yang sama dengan respons yang diterima perangkat nyata
    • Respons memuat flag fitur, ambang deteksi idle seperti rasio baterai·batas CPU/memori·aturan Wi-Fi/seluler, tier bandwidth per negara, dan struktur yang berisi manifest mitra
    • Di dalam konfigurasi terdapat aturan idle yang membuat perangkat memenuhi syarat untuk merelay trafik, flag untuk merutekan trafik peer di sekitar VPN, map yang menghubungkan instalasi lintas platform sebagai satu identitas, dan batas bandwidth per negara

  • Tunnel peer

    • Setelah mengambil konfigurasi, SDK membuka WebSocket persisten ke alamat berikut
    • wss://proxyjs.brdtnet.com:443
    • Nama host ini, pada saat penulisan, di-resolve ke IP AWS Global Accelerator 3.33.193.183, 15.197.193.114
    • Sertifikat TLS-nya adalah CN=*.luminatinet.com, dan Luminati Networks adalah nama lama Bright Data sebelum 2018
    • Bahkan setelah rebranding 2018, infrastruktur SDK yang aktif masih memakai sertifikat legacy, dan trafik luminatinet.com atau brdtnet.com adalah petunjuk identifikasi plane tunnel peer, bukan penggunaan Bright Data sisi pelanggan
    • Layanan proxy yang saat ini ditujukan ke pelanggan berjalan di domain bermerek brightdata.com, sehingga trafik luminatinet.com·brdtnet.com di jaringan merupakan plane tunnel peer
    • Server mengidentifikasi dirinya sebagai uWebSockets: 20
    • Endpoint peer tidak meminta autentikasi saat upgrade, menerima upgrade WebSocket dengan TLS yang valid, lalu segera mengirim frame layer aplikasi yang mengembalikan IP publik klien
    • Alur handshake
      1. Server → Klien tunnel_init: membuat sesi dan mengembalikan IP publik klien
      1. Server → Klien cid_set: menetapkan identifier pelacakan sesi dengan format <IP>-<token>/ls<N>c<M>p443_<IP>_<counter>, dan dipastikan cocok dengan field cid pada telemetri perangkat nyata
      1. Server → Klien status_get: melakukan polling status idle perangkat, baterai, tipe jaringan, dan bandwidth yang tersedia, lalu perangkat merespons dengan telemetri persisten seperti idle, wifi_connected, mobile_connected, mobile_type, roaming, battery_level, using_battery, screen_on, on_call, cpu_usage, mem_usage, raw_bw, bw, ipv6_supported, appid, sdk_version, platform, cid
      Iklan
      1. Setelah handshake selesai dan perangkat melaporkan kondisi yang menguntungkan, layer pencocokan tugas server dapat mendorong frame cmd_tun, dan SDK mengeksekusinya sebagai permintaan HTTP ke situs pihak ketiga dengan IP residensial pengguna sebagai sumber
    • Semua frame pada WebSocket adalah JSON plain dengan envelope tetap
    • {"type": "ipc_call"|"ipc_post"|"ipc_result"|"ipc_error","cmd": <command>, "cookie": <correlation-id>,"err_code": 0, "msg": { ...payload... }}
    • Perintah yang diekstrak dari biner dan dikonfirmasi dalam komunikasi nyata
    • | Arah | cmd | Tujuan |
    • |---|---|---|
    • | Server → Klien | tunnel_init | Membuka sesi, echo IP publik |
    • | Server → Klien | cid_set | Menetapkan identifier sesi |
    • | Server → Klien | status_get | Polling idle perangkat·baterai·bandwidth |
    • | Server → Klien | cmd_tun / tun | Mengirim tugas scraping |
    • | Server → Klien | dns | Meminta resolusi DNS target |
    • | Server → Klien | consent | Meminta status persetujuan |
    • | Klien → Server | status_send | Heartbeat berkala status perangkat |
    • | Klien → Server | tun_report / tun_ack / tun_fin | Respons siklus hidup tugas relay |
    • | Klien → Server | tunnel_init_decline | Menolak sesi |
    • | Klien → Server | logs | Mengirim log diagnostik ke server |
    • Tidak ada penandatanganan pesan, HMAC, sertifikat klien, atau attestation perangkat; dalam praktiknya, yang membedakan peer yang menerima tugas nyata hanyalah layer TLS dan filter reputasi IP di sisi server
    • Bagi pembaca yang familier dengan desain protokol malware komersial, tingkat keamanannya secara praktis lebih rendah daripada C2 yang umum

  • Kondisi yang dianggap SDK sebagai “idle”

    • Konfigurasi menetapkan aturan status perangkat yang dapat merelay trafik orang lain
    "idle_metrics": {
  "ignore_screen_on": true,
  "ignore_on_call": true,
  "max_bw_ratio": 1,
  "min_battery": 0.2,
  "wifi_on_battery": true,
  "min_battery_wifi": 0.2,
  "max_cpu_usage": 70,
  "max_mem_usage": 90,
  "mem_screen_off": true,
  "idle_timeout": 30,
  "not_idle_timeout": 10
}
    • Karena flag ignore_screen_on dan ignore_on_call, “idle” tidak berarti pengguna sedang jauh dari perangkat, melainkan CPU·memori·baterai berada dalam ambang batas SDK
    • Pengguna yang sedang menelepon atau aktif membaca layar juga dianggap dalam status idle untuk tujuan relay

  • Pengaitan identitas lintas platform

    • Konfigurasi memuat dual_pairing map berikut
    Iklan
    "dual_pairing": {
  "ios_com.brd.earnapp": ["win_earnapp.com", "mac_com.earnapp"]
}
    • Map ini adalah struktur pengaitan sisi server yang mengelompokkan instalasi iOS, Windows, dan macOS dari merek yang sama sebagai satu entitas
    • Field http3_enabled: true adalah flag untuk transport peer berbasis QUIC, dan versi mendatang dapat memindahkan tunnel peer dari TCP/443 ke UDP/443
    • Bagi pihak pertahanan yang mendeteksi WebSocket melalui pelacakan koneksi TCP, metode deteksi tersebut dapat rusak jika berpindah ke UDP/443

  • Menghindari inspeksi

    • Flag use_netifs: true dalam konfigurasi SDK adalah kondisi yang membuat kode biner SDK menyusun NWConnection ke antarmuka wajib tertentu, alih-alih melalui rute default sistem
    • Antarmuka wajib itu adalah en0 untuk Wi-Fi atau pdp_ip0 untuk seluler
    • Di iOS, pendekatan ini sepenuhnya melewati antarmuka tun0 milik VPN yang dikonfigurasi, sehingga meskipun trafik HTTPS lain dari aplikasi melewati VPN, tunnel peer tidak melewati VPN yang dikonfigurasi pengguna

  • Lingkungan riset intersepsi TLS transparan menangkap semua panggilan HTTPS SDK, tetapi hasilnya menunjukkan tunnel peer proxyjs.brdtnet.com:443 tidak tertangkap meskipun port 443 secara eksplisit dialihkan ke inspeksi

    • Bypass menggunakan API NWParameters.requiredInterface yang terdokumentasi oleh Apple
    • SDK menggunakan dua bypass inspeksi yang independen
    • Control plane: pengambilan konfigurasi dan ping telemetri berbasis primitive CFHTTPMessage milik CFNetwork alih-alih URLSession·NSURLConnection, sehingga meniadakan instrumentasi tingkat URLSession, swizzling, network extension, dan subclass URLProtocol yang umum pada alat keamanan aplikasi seluler, sambil tetap menghormati proxy sistem agar visibilitas bagi peneliti intersepsi TLS tetap ada
    • Data plane: tunnel peer berbasis NWConnection yang menetapkan antarmuka fisik sebagai antarmuka wajib, menonaktifkan VPN dan memastikan scraping berjalan dari IP residensial
    • Bagi tim keamanan yang menggunakan MDM, inspeksi lalu lintas berbasis VPN perusahaan, atau kontrol orang tua pada router rumah, kanal yang paling sensitif dirancang untuk melewati lapisan visibilitas

Tingkatan per negara

  • Di dalam pengaturan terdapat ambang batas bandwidth per negara
Iklan
Negara Baterai minimum relay Batas harian Batas bulanan
Uzbekistan 1% 1GB 30GB
Oman 1% 1GB 30GB
Qatar 20% 40MB 250MB
UEA 20% 40MB 250MB
default, seluruh dunia 20% 50MB 500MB
  • Perangkat di Uzbekistan dan Oman diizinkan menjadi relay hingga baterai 1%, dengan batas harian 20 kali nilai default dan batas bulanan 60 kali nilai default
  • Perangkat di Qatar dan UEA dibatasi dengan kuota yang lebih rendah daripada nilai default
  • Alasan tingkatan per negara disusun seperti ini tidak bisa dipastikan, hanya bisa diduga
  • Kuota default global pun tetap mengizinkan trafik orang lain sebesar 500MB per bulan melalui internet rumah pengguna

Konfigurasi pengujian dan metodologi

  • Selama 30 hari, penangkapan proxy intersepsi TLS dilakukan pada perangkat iOS yang menjalankan aplikasi mitra dengan instalasi berbasis persetujuan; aplikasi contoh mencakup XYO COIN yang menyematkan Bright SDK
  • Analisis statis dilakukan pada brdsdk.framework version 1.532.120, biner iOS arm64
  • Nama host tertentu, fingerprint sertifikat, dan infrastruktur TLS milik Bright Data dapat diamati secara publik oleh siapa pun yang melakukan permintaan yang sama
  • Tidak ada data identifikasi per sesi dari armada riset atau klien riset di dalam dokumen

Linimasa

  • Pada 11 Mei 2026, email pemberitahuan sebelum publikasi dikirim ke privacy@brightdata.com
  • Hingga waktu publikasi, tidak ada tanggapan atas pemberitahuan tersebut

Pendekatan pertahanan

  • Trafik meninggalkan fingerprint yang jelas di batas jaringan, dan SDK disusun untuk meninggalkan simbol yang dapat diidentifikasi di biner aplikasi
  • Pendekatan 1, pemblokiran DNS, adalah cara yang sederhana dan efektif untuk perangkat yang dirutekan melalui jaringan
    • proxyjs.brdtnet.com
    • proxyjs.luminatinet.com
    • proxyjs.bright-sdk.com
    • clientsdk.bright-sdk.com
    • clientsdk.brdtnet.com
  • Pemblokiran proxyjs.* memutus tunnel peer, tanpa berdampak pada pelanggan yang secara sah menggunakan layanan proxy untuk pelanggan Bright Data yang berjalan di domain lain
  • Pendekatan 2, pemfilteran TLS SNI, memblokir atau memberi peringatan pada handshake TLS yang server_name-nya cocok dengan *.brdtnet.com, *.luminatinet.com, *.luminati.io
  • Pemfilteran SNI bekerja di batas jaringan tanpa inspeksi TLS
  • Pendekatan 3, deteksi fingerprint sertifikat TLS, melakukan pemblokiran atau peringatan berbasis fingerprint berikut
    • .brdtnet.com → SHA256 313ce4ec7d5a51e5…
    • .luminatinet.com → SHA256 5028612e625befea…
  • Fingerprint sertifikat stabil sampai sertifikat Sectigo diganti, dan sertifikat saat ini berlaku hingga pertengahan 2026
  • Karena pembatasan terkait use_netifs, ketiga lapisan hanya bekerja ketika trafik melintasi batas jaringan
  • Saat perangkat iOS menggunakan seluler, binding use_netifs milik SDK menciptakan kondisi yang membuat trafik peer sepenuhnya melewati Wi‑Fi perusahaan
  • Kontrol pelengkap untuk fleet perangkat terkelola adalah pemindaian biner aplikasi berbasis MDM, dengan mencari simbol Swift BrdWebSocketFacade dan BrdNetwork.DNSResolver di aplikasi yang terpasang, lalu melarang aplikasi yang memiliki simbol tersebut di perangkat yang disediakan perusahaan
  • Pengguna rumahan yang khawatir terhadap smart TV atau aplikasi mobile tertentu dapat menggunakan pemblokiran nama host di pengaturan DNS router
  • Contoh alat pemblokiran: Pi-hole, NextDNS, Cloudflare Gateway, atau fitur setara dari ISP

Bacaan terkait

1 komentar

 
GN⁺ 3 jam lalu
Komentar Lobste.rs

  • Saat membicarakan protokol ini, kalau membuat reverse honeypot yang secara sukarela mengirimkan data sampah yang dibuat secara acak untuk setiap permintaan, ini bisa jadi proyek vibe coding yang menarik bagi seseorang yang punya token tersisa

    • Sepertinya tidak perlu repot mengimplementasikan protokolnya. Kalau melihat log, cukup banyak proxy residensial seperti ini yang gagal total menyembunyikan diri, jadi kita bisa dengan mudah mengirimkan data sampah saja
      Bahkan tidak perlu vibe coding, sudah ada puluhan alat yang bisa melakukan hal seperti ini. Banyak di antaranya sudah lebih dari setahun terus-menerus menyajikan data sampah tanpa henti ke proxy seperti ini

  • Saya benar-benar tidak paham kenapa TV atau peralatan rumah tangga lain harus terhubung ke internet. Tidak ada alasan bagus untuk melakukannya

    • Orang menonton layanan streaming di TV. Menghubungkan TV ke internet adalah cara termudah untuk melakukan itu