Компания Bitsight обнаружила операцию Fuyao, связанную с дешёвыми Android TV-приставками малоизвестных марок. Найденные приложения умели менять аппаратную идентичность устройства, автоматически нажимать на рекламу и пропускать чужой интернет-трафик через домашнее подключение владельца. Bitsight связала Fuyao с основанной в 2019 году китайской компанией Zhejiang Fengwo IoT Technology Co., Ltd. При этом неизвестно, кто именно установил приложения: производитель, дистрибьютор, продавец или другой участник цепочки поставок. Не установлено и то, на каком этапе они попадали в прошивку либо на накопитель приставки.
Поведение устройства зависело от сигнала HDMI. При активном HDMI приставка обычно превращалась в выходной узел SOCKS5: посторонний трафик шёл через широкополосное подключение владельца и получал его домашний IP-адрес. Когда HDMI выключался, устройство ожидало задания для рекламного мошенничества и затем имитировало действия посетителя на сайтах. Одна коробочка могла приносить операторам деньги двумя способами: фальшивыми рекламными взаимодействиями и сдачей чужого интернет-канала в качестве резидентского прокси.
Профиль мнимого смартфона поступал с командно-управляющего, или C2-сервера. Система объединяла базовую конфигурацию с отдельным файлом различий для конкретной модели, так называемым diff, после чего удаляла свойства чипсета, способные выдать плату ТВ-приставки. Маскировались платформы Rockchip, Amlogic и Allwinner. После подмены данных устройство представлялось телефоном Samsung, Huawei, Xiaomi или Vivo, хотя физически оставалось приставкой.
На след Fuyao исследователи вышли после регистрации просроченного домена, прежде служившего фабричным бэкдором и сборщиком телеметрии. Bitsight превратила его в sinkhole, то есть сервер-перехватчик, куда продолжили обращаться устройства со старым адресом в настройках. За одни сутки после фильтрации сообщений от приставок с приложениями Fuyao туда поступило 65 957 отчётов примерно от 38 000 уникальных MAC-адресов. Большинство устройств называли себя телефонами. Однако 38 000 MAC-адресов нельзя считать числом физических приставок: идентификаторы могли подменяться и меняться, а один аппарат мог сообщить несколько адресов. К тому же перехватчик видел лишь часть инфраструктуры.
Чаще всего в распознанных отчётах встречалось обозначение H96_MAX_V11. Bitsight предупредила, что выборка была смещена в сторону старых моделей одной марки, поэтому H96_MAX_V11 нельзя объявлять единственной или даже самой распространённой заражённой моделью во всей сети. Отдельно исследователи обнаружили рекламу Fengwo, где говорилось более чем о 120 000 «цифровых людях с ИИ». Что именно компания считала таким «цифровым человеком», в отчёте не определено. Эту цифру нельзя сопоставлять ни с 38 000 MAC-адресов, ни с 65 957 сообщениями; ни один из показателей не раскрывает реальный размер парка устройств.
Google сообщила изданию The Hacker News, что затронутые приставки малоизвестных брендов не имели сертификации Play Protect. Представитель компании пояснил: «Эти устройства малоизвестных брендов не были Android-устройствами, сертифицированными Play Protect. Если устройство не сертифицировано Play Protect, у Google нет сведений о результатах его проверки на безопасность и совместимость. Сертифицированные Play Protect Android-устройства проходят обширное тестирование, призванное гарантировать качество и безопасность пользователей. Чтобы проверить, создано ли устройство на базе Android TV OS и сертифицировано ли оно Play Protect, можно обратиться к наиболее актуальному списку партнёров на нашем сайте Android TV. Также можно выполнить указанные действия, чтобы проверить наличие у устройства сертификации Play Protect».
Автоматические клики Fuyao строились на разборе картинки и элементов интерфейса. Приложение Script содержало модель обнаружения объектов YOLOv8s под названием lourui_2, обученную распознавать 12 элементов экрана, включая обычные области рекламных баннеров и виджеты Taboola. К ней добавлялись данные специальных возможностей Android и оптическое распознавание текста Google ML Kit OCR. Исследователь угроз Bitsight Pedro Falé описал этот механизм так: «Он объединяет три системы зрения и рассуждения в едином интерфейсе». Иными словами, программа одновременно смотрела на изображение, читала структуру интерфейса и распознавала текст.
Сценарии для рекламных кампаний собирали в собственном визуальном редакторе на базе Blockly, разработанного Google конструктора программ из перетаскиваемых блоков. Готовую логику экспортировали в JavaScript, загружали в S3, а затем отправляли приставкам на исполнение. На четырёх тестовых устройствах Bitsight перехватила около 40 мошеннических заданий, относившихся к 21 уникальной кампании и содержавших 166 уникальных модулей. В восстановленном комментарии разработчика говорилось, что шаблонная система позволит небольшой группе опытных инженеров обслуживать менее квалифицированных операторов кампаний и сократить расходы.
Выплаты проходили через сеть сайтов-издателей. Bitsight нанесла на карту 144 домена, которыми управляли операторы, и распределила их по семи группам получателей. Как минимум 84 домена загружали на главной странице тег Taboola. Публичный файл sellers.json компании Taboola помог связать эти сайты с организациями, получавшими рекламные деньги в Гонконге и Сингапуре. Такая схема позволяла генерировать посещения и клики на собственных площадках, после чего проводить доход через зарегистрированных участников рекламной цепочки.
Расчётная валовая отдача Bitsight составляла 1,25 доллара с устройства в сутки. Для 38 000 одновременно работающих аппаратов это около 47 500 долларов в день, но речь идёт о модели, а не о замеченных платежах. Отдельная оценка допускала доход до 40 миллионов долларов в год, если сеть работала в размере, заявленном в рекламе Fengwo. В расчёте упоминались 30–40% выявленных мошеннических действий и 70% заполняемости рекламных мест, однако полную формулу Bitsight не опубликовала. Поэтому годовую оценку нельзя приравнивать к сценарию на основе 38 000 MAC-адресов, а обе суммы нельзя выдавать за подтверждённую выручку.
Атрибуцию в адрес Zhejiang Fengwo Bitsight построила на общих данных TLS-сертификатов, открытых wiki-файлах, повторно использованных адресах электронной почты, денежных связях и патентах. Китайские реестры действительно называют компанию правообладателем нескольких близких технологий. Патент CN117421142B, выданный в ноябре 2024 года, касается отслеживания процесса выполнения поведенческих модулей цифрового человека. Заявка CN117478834A описывает наблюдение за удалёнными экранами с помощью размещённых в облаке миниатюр и сравнения ключевых кадров. Ни один документ не упоминает рекламу и сам по себе не доказывает, что Fengwo управляла Fuyao либо занималась рекламным мошенничеством.
По состоянию на 19:48 в проверенных материалах отсутствовали полные перечни затронутых пакетов приложений, сборок прошивок, моделей и сетевых индикаторов, а также точная инструкция по обнаружению Fuyao. Неизвестны фактическое число приставок, реальная выручка и смысл маркетингового выражения «цифровые люди с ИИ». В июне 2025 года ФБР рекомендовало проверить подключённые к домашней сети устройства, отключить подозрительные аппараты и своевременно обновлять прошивки. Особого внимания требуют безымянные стриминговые приставки, которые продаются с обещаниями «бесплатного контента». Наличие Play Protect стоит проверять в настройках устройства и по актуальному списку партнёров Android TV, но одна только модель на корпусе пока не позволяет надёжно определить заражение.
Изображение носит иллюстративный характер
Поведение устройства зависело от сигнала HDMI. При активном HDMI приставка обычно превращалась в выходной узел SOCKS5: посторонний трафик шёл через широкополосное подключение владельца и получал его домашний IP-адрес. Когда HDMI выключался, устройство ожидало задания для рекламного мошенничества и затем имитировало действия посетителя на сайтах. Одна коробочка могла приносить операторам деньги двумя способами: фальшивыми рекламными взаимодействиями и сдачей чужого интернет-канала в качестве резидентского прокси.
Профиль мнимого смартфона поступал с командно-управляющего, или C2-сервера. Система объединяла базовую конфигурацию с отдельным файлом различий для конкретной модели, так называемым diff, после чего удаляла свойства чипсета, способные выдать плату ТВ-приставки. Маскировались платформы Rockchip, Amlogic и Allwinner. После подмены данных устройство представлялось телефоном Samsung, Huawei, Xiaomi или Vivo, хотя физически оставалось приставкой.
На след Fuyao исследователи вышли после регистрации просроченного домена, прежде служившего фабричным бэкдором и сборщиком телеметрии. Bitsight превратила его в sinkhole, то есть сервер-перехватчик, куда продолжили обращаться устройства со старым адресом в настройках. За одни сутки после фильтрации сообщений от приставок с приложениями Fuyao туда поступило 65 957 отчётов примерно от 38 000 уникальных MAC-адресов. Большинство устройств называли себя телефонами. Однако 38 000 MAC-адресов нельзя считать числом физических приставок: идентификаторы могли подменяться и меняться, а один аппарат мог сообщить несколько адресов. К тому же перехватчик видел лишь часть инфраструктуры.
Чаще всего в распознанных отчётах встречалось обозначение H96_MAX_V11. Bitsight предупредила, что выборка была смещена в сторону старых моделей одной марки, поэтому H96_MAX_V11 нельзя объявлять единственной или даже самой распространённой заражённой моделью во всей сети. Отдельно исследователи обнаружили рекламу Fengwo, где говорилось более чем о 120 000 «цифровых людях с ИИ». Что именно компания считала таким «цифровым человеком», в отчёте не определено. Эту цифру нельзя сопоставлять ни с 38 000 MAC-адресов, ни с 65 957 сообщениями; ни один из показателей не раскрывает реальный размер парка устройств.
Google сообщила изданию The Hacker News, что затронутые приставки малоизвестных брендов не имели сертификации Play Protect. Представитель компании пояснил: «Эти устройства малоизвестных брендов не были Android-устройствами, сертифицированными Play Protect. Если устройство не сертифицировано Play Protect, у Google нет сведений о результатах его проверки на безопасность и совместимость. Сертифицированные Play Protect Android-устройства проходят обширное тестирование, призванное гарантировать качество и безопасность пользователей. Чтобы проверить, создано ли устройство на базе Android TV OS и сертифицировано ли оно Play Protect, можно обратиться к наиболее актуальному списку партнёров на нашем сайте Android TV. Также можно выполнить указанные действия, чтобы проверить наличие у устройства сертификации Play Protect».
Автоматические клики Fuyao строились на разборе картинки и элементов интерфейса. Приложение Script содержало модель обнаружения объектов YOLOv8s под названием lourui_2, обученную распознавать 12 элементов экрана, включая обычные области рекламных баннеров и виджеты Taboola. К ней добавлялись данные специальных возможностей Android и оптическое распознавание текста Google ML Kit OCR. Исследователь угроз Bitsight Pedro Falé описал этот механизм так: «Он объединяет три системы зрения и рассуждения в едином интерфейсе». Иными словами, программа одновременно смотрела на изображение, читала структуру интерфейса и распознавала текст.
Сценарии для рекламных кампаний собирали в собственном визуальном редакторе на базе Blockly, разработанного Google конструктора программ из перетаскиваемых блоков. Готовую логику экспортировали в JavaScript, загружали в S3, а затем отправляли приставкам на исполнение. На четырёх тестовых устройствах Bitsight перехватила около 40 мошеннических заданий, относившихся к 21 уникальной кампании и содержавших 166 уникальных модулей. В восстановленном комментарии разработчика говорилось, что шаблонная система позволит небольшой группе опытных инженеров обслуживать менее квалифицированных операторов кампаний и сократить расходы.
Выплаты проходили через сеть сайтов-издателей. Bitsight нанесла на карту 144 домена, которыми управляли операторы, и распределила их по семи группам получателей. Как минимум 84 домена загружали на главной странице тег Taboola. Публичный файл sellers.json компании Taboola помог связать эти сайты с организациями, получавшими рекламные деньги в Гонконге и Сингапуре. Такая схема позволяла генерировать посещения и клики на собственных площадках, после чего проводить доход через зарегистрированных участников рекламной цепочки.
Расчётная валовая отдача Bitsight составляла 1,25 доллара с устройства в сутки. Для 38 000 одновременно работающих аппаратов это около 47 500 долларов в день, но речь идёт о модели, а не о замеченных платежах. Отдельная оценка допускала доход до 40 миллионов долларов в год, если сеть работала в размере, заявленном в рекламе Fengwo. В расчёте упоминались 30–40% выявленных мошеннических действий и 70% заполняемости рекламных мест, однако полную формулу Bitsight не опубликовала. Поэтому годовую оценку нельзя приравнивать к сценарию на основе 38 000 MAC-адресов, а обе суммы нельзя выдавать за подтверждённую выручку.
Атрибуцию в адрес Zhejiang Fengwo Bitsight построила на общих данных TLS-сертификатов, открытых wiki-файлах, повторно использованных адресах электронной почты, денежных связях и патентах. Китайские реестры действительно называют компанию правообладателем нескольких близких технологий. Патент CN117421142B, выданный в ноябре 2024 года, касается отслеживания процесса выполнения поведенческих модулей цифрового человека. Заявка CN117478834A описывает наблюдение за удалёнными экранами с помощью размещённых в облаке миниатюр и сравнения ключевых кадров. Ни один документ не упоминает рекламу и сам по себе не доказывает, что Fengwo управляла Fuyao либо занималась рекламным мошенничеством.
По состоянию на 19:48 в проверенных материалах отсутствовали полные перечни затронутых пакетов приложений, сборок прошивок, моделей и сетевых индикаторов, а также точная инструкция по обнаружению Fuyao. Неизвестны фактическое число приставок, реальная выручка и смысл маркетингового выражения «цифровые люди с ИИ». В июне 2025 года ФБР рекомендовало проверить подключённые к домашней сети устройства, отключить подозрительные аппараты и своевременно обновлять прошивки. Особого внимания требуют безымянные стриминговые приставки, которые продаются с обещаниями «бесплатного контента». Наличие Play Protect стоит проверять в настройках устройства и по актуальному списку партнёров Android TV, но одна только модель на корпусе пока не позволяет надёжно определить заражение.