Bitsight раскрыла схему Fuyao в дешёвых Android TV-приставках

Bitsight обнаружила операцию Fuyao на дешёвых Android TV-приставках: приложения подменяют аппаратный профиль, выдают устройство за смартфон Samsung, Huawei, Xiaomi или Vivo, кликают по рекламе и используют канал владельца как SOCKS5-прокси. За сутки сервер исследователей получил 65 957 сообщений примерно от 38 000 уникальных MAC-адресов. Физических приставок может быть меньше: идентификаторы меняются.

Как работает Fuyao

Когда приставка обнаруживает сигнал HDMI, она обычно начинает пересылать чужой трафик через подключение владельца и становится выходным узлом SOCKS5. После отключения HDMI устройство вновь ожидает задания для рекламного мошенничества.

Командный сервер отправляет профиль телефона, объединяя базовую конфигурацию с настройками модели, и удаляет свойства чипсетов Rockchip, Amlogic и Allwinner. Большинство распознанных устройств называли себя H96_MAX_V11. Однако выборка Bitsight смещена к старым моделям одного бренда, поэтому полного списка затронутых приставок нет.

Приложение Script ищет рекламу с помощью YOLOv8s-модели lourui_2, обученной распознавать 12 элементов экрана, включая баннеры и виджеты Taboola. Её дополняют данные специальных возможностей Android и распознавание текста Google ML Kit. Сценарии собирают на Blockly, экспортируют в JavaScript, загружают в S3 и передают приставке.

Масштаб и пределы оценки

На четырёх устройствах Bitsight зафиксировала около 40 заданий, 21 уникальную кампанию и 166 модулей. Исследователи связали 144 домена в семи группах; как минимум 84 загружали тег Taboola. Для 38 000 активных устройств модель дала $47 500 валовой выручки в день, но это расчёт, а не наблюдавшийся доход.

Bitsight связывает Fuyao с Zhejiang Fengwo IoT Technology Co., Ltd. по сертификатам, wiki-файлам, адресам почты, финансовым связям и патентам. Эти патенты не описывают рекламу и не доказывают управление Fuyao. Кто и когда добавил приложения в цепочке поставок, также не установлено.

Что учесть бизнесу

Полного списка пакетов, прошивок и сетевых индикаторов нет, поэтому точечная проверка Fuyao ограничена. Бизнесу стоит проверять сертификацию Play Protect, обновлять прошивки и отключать подозрительные устройства от сети. Медиаприставки важно учитывать как полноценные сетевые узлы с доступом к каналу связи.