Bitsight раскрыла схему Fuyao в дешёвых Android TV-приставках
Bitsight обнаружила операцию Fuyao на дешёвых Android TV-приставках: приложения подменяют аппаратный профиль, выдают устройство за смартфон Samsung, Huawei, Xiaomi или Vivo, кликают по рекламе и используют канал владельца как SOCKS5-прокси. За сутки сервер исследователей получил 65 957 сообщений примерно от 38 000 уникальных MAC-адресов. Физических приставок может быть меньше: идентификаторы меняются.
Как работает Fuyao
Когда приставка обнаруживает сигнал HDMI, она обычно начинает пересылать чужой трафик через подключение владельца и становится выходным узлом SOCKS5. После отключения HDMI устройство вновь ожидает задания для рекламного мошенничества.
Командный сервер отправляет профиль телефона, объединяя базовую конфигурацию с настройками модели, и удаляет свойства чипсетов Rockchip, Amlogic и Allwinner. Большинство распознанных устройств называли себя H96_MAX_V11. Однако выборка Bitsight смещена к старым моделям одного бренда, поэтому полного списка затронутых приставок нет.
Приложение Script ищет рекламу с помощью YOLOv8s-модели lourui_2, обученной распознавать 12 элементов экрана, включая баннеры и виджеты Taboola. Её дополняют данные специальных возможностей Android и распознавание текста Google ML Kit. Сценарии собирают на Blockly, экспортируют в JavaScript, загружают в S3 и передают приставке.
Масштаб и пределы оценки
На четырёх устройствах Bitsight зафиксировала около 40 заданий, 21 уникальную кампанию и 166 модулей. Исследователи связали 144 домена в семи группах; как минимум 84 загружали тег Taboola. Для 38 000 активных устройств модель дала $47 500 валовой выручки в день, но это расчёт, а не наблюдавшийся доход.
Bitsight связывает Fuyao с Zhejiang Fengwo IoT Technology Co., Ltd. по сертификатам, wiki-файлам, адресам почты, финансовым связям и патентам. Эти патенты не описывают рекламу и не доказывают управление Fuyao. Кто и когда добавил приложения в цепочке поставок, также не установлено.
Что учесть бизнесу
Полного списка пакетов, прошивок и сетевых индикаторов нет, поэтому точечная проверка Fuyao ограничена. Бизнесу стоит проверять сертификацию Play Protect, обновлять прошивки и отключать подозрительные устройства от сети. Медиаприставки важно учитывать как полноценные сетевые узлы с доступом к каналу связи.
Прокси на Android TV: что означает схема Fuyao
В контексте Fuyao прокси на Android TV — это не обычная пользовательская настройка. Приложение на приставке может пересылать чужой трафик через подключение владельца, превращая устройство в выходной узел SOCKS5.
Почему приставку нельзя проверить только по названию модели
Исследованные устройства подменяли аппаратный профиль и могли выдавать себя за смартфоны разных производителей. Многие называли себя H96_MAX_V11, но выборка Bitsight была смещена к старым моделям одного бренда. Поэтому название приставки само по себе не подтверждает и не исключает участие в схеме.
- Полного списка затронутых моделей, пакетов и прошивок нет.
- Изменяемые идентификаторы затрудняют оценку числа физических устройств.
- Патенты связанной компании не доказывают управление Fuyao.
Что делать при подозрении на прокси-активность
Точечная проверка ограничена из-за отсутствия полного набора сетевых индикаторов. Практичный подход — рассматривать медиаприставку как полноценный сетевой узел и сокращать риск её доступа к рабочей сети.
- Проверьте наличие сертификации Google Play Protect.
- Установите доступные обновления прошивки.
- Отключите подозрительное устройство от сети.
- Не делайте вывод о заражении только по модели приставки.
Частые вопросы
Может ли Android TV-приставка работать как прокси без ведома владельца?
В описанной схеме Fuyao приложение использует подключение владельца для пересылки чужого трафика через SOCKS5. Такое поведение не является обычной настройкой приставки пользователем.
Можно ли определить Fuyao по модели Android TV-приставки?
Надёжно определить Fuyao только по модели нельзя. Исследование охватило ограниченную и смещённую выборку, а полного перечня затронутых устройств и прошивок нет.
Что означает подмена профиля устройства?
Приставка получает профиль телефона и удаляет свойства, указывающие на чипсеты Rockchip, Amlogic или Allwinner. В результате она может представляться смартфоном Samsung, Huawei, Xiaomi или Vivo.