Компания Bitsight обнаружила операцию Fuyao, связанную с дешёвыми Android TV-приставками малоизвестных марок. Найденные приложения умели менять аппаратную идентичность устройства, автоматически нажимать на рекламу и пропускать чужой интернет-трафик через домашнее подключение владельца. Bitsight связала Fuyao с основанной в 2019 году китайской компанией Zhejiang Fengwo IoT Technology Co., Ltd. При этом неизвестно, кто именно установил приложения: производитель, дистрибьютор, продавец или другой участник цепочки поставок. Не установлено и то, на каком этапе они попадали в прошивку либо на накопитель приставки.
Поведение устройства зависело от сигнала HDMI. При активном HDMI приставка обычно превращалась в выходной узел SOCKS5: посторонний трафик шёл через широкополосное подключение владельца и получал его домашний IP-адрес. Когда HDMI выключался, устройство ожидало задания для рекламного мошенничества и затем имитировало действия посетителя на сайтах. Одна коробочка могла приносить операторам деньги двумя способами: фальшивыми рекламными взаимодействиями и сдачей чужого интернет-канала в качестве резидентского прокси.
Профиль мнимого смартфона поступал с командно-управляющего, или C2-сервера. Система объединяла базовую конфигурацию с отдельным файлом различий для конкретной модели, так называемым diff, после чего удаляла свойства чипсета, способные выдать плату ТВ-приставки. Маскировались платформы Rockchip, Amlogic и Allwinner. После подмены данных устройство представлялось телефоном Samsung, Huawei, Xiaomi или Vivo, хотя физически оставалось приставкой.
На след Fuyao исследователи вышли после регистрации просроченного домена, прежде служившего фабричным бэкдором и сборщиком телеметрии. Bitsight превратила его в sinkhole, то есть сервер-перехватчик, куда продолжили обращаться устройства со старым адресом в настройках. За одни сутки после фильтрации сообщений от приставок с приложениями Fuyao туда поступило 65 957 отчётов примерно от 38 000 уникальных MAC-адресов. Большинство устройств называли себя телефонами. Однако 38 000 MAC-адресов нельзя считать числом физических приставок: идентификаторы могли подменяться и меняться, а один аппарат мог сообщить несколько адресов. К тому же перехватчик видел лишь часть инфраструктуры.
Чаще всего в распознанных отчётах встречалось обозначение H96_MAX_V11. Bitsight предупредила, что выборка была смещена в сторону старых моделей одной марки, поэтому H96_MAX_V11 нельзя объявлять единственной или даже самой распространённой заражённой моделью во всей сети. Отдельно исследователи обнаружили рекламу Fengwo, где говорилось более чем о 120 000 «цифровых людях с ИИ». Что именно компания считала таким «цифровым человеком», в отчёте не определено. Эту цифру нельзя сопоставлять ни с 38 000 MAC-адресов, ни с 65 957 сообщениями; ни один из показателей не раскрывает реальный размер парка устройств.
Google сообщила изданию The Hacker News, что затронутые приставки малоизвестных брендов не имели сертификации Play Protect. Представитель компании пояснил: «Эти устройства малоизвестных брендов не были Android-устройствами, сертифицированными Play Protect. Если устройство не сертифицировано Play Protect, у Google нет сведений о результатах его проверки на безопасность и совместимость. Сертифицированные Play Protect Android-устройства проходят обширное тестирование, призванное гарантировать качество и безопасность пользователей. Чтобы проверить, создано ли устройство на базе Android TV OS и сертифицировано ли оно Play Protect, можно обратиться к наиболее актуальному списку партнёров на нашем сайте Android TV. Также можно выполнить указанные действия, чтобы проверить наличие у устройства сертификации Play Protect».
Автоматические клики Fuyao строились на разборе картинки и элементов интерфейса. Приложение Script содержало модель обнаружения объектов YOLOv8s под названием lourui_2, обученную распознавать 12 элементов экрана, включая обычные области рекламных баннеров и виджеты Taboola. К ней добавлялись данные специальных возможностей Android и оптическое распознавание текста Google ML Kit OCR. Исследователь угроз Bitsight Pedro Falé описал этот механизм так: «Он объединяет три системы зрения и рассуждения в едином интерфейсе». Иными словами, программа одновременно смотрела на изображение, читала структуру интерфейса и распознавала текст.
Сценарии для рекламных кампаний собирали в собственном визуальном редакторе на базе Blockly, разработанного Google конструктора программ из перетаскиваемых блоков. Готовую логику экспортировали в JavaScript, загружали в S3, а затем отправляли приставкам на исполнение. На четырёх тестовых устройствах Bitsight перехватила около 40 мошеннических заданий, относившихся к 21 уникальной кампании и содержавших 166 уникальных модулей. В восстановленном комментарии разработчика говорилось, что шаблонная система позволит небольшой группе опытных инженеров обслуживать менее квалифицированных операторов кампаний и сократить расходы.
Выплаты проходили через сеть сайтов-издателей. Bitsight нанесла на карту 144 домена, которыми управляли операторы, и распределила их по семи группам получателей. Как минимум 84 домена загружали на главной странице тег Taboola. Публичный файл sellers.json компании Taboola помог связать эти сайты с организациями, получавшими рекламные деньги в Гонконге и Сингапуре. Такая схема позволяла генерировать посещения и клики на собственных площадках, после чего проводить доход через зарегистрированных участников рекламной цепочки.
Расчётная валовая отдача Bitsight составляла 1,25 доллара с устройства в сутки. Для 38 000 одновременно работающих аппаратов это около 47 500 долларов в день, но речь идёт о модели, а не о замеченных платежах. Отдельная оценка допускала доход до 40 миллионов долларов в год, если сеть работала в размере, заявленном в рекламе Fengwo. В расчёте упоминались 30–40% выявленных мошеннических действий и 70% заполняемости рекламных мест, однако полную формулу Bitsight не опубликовала. Поэтому годовую оценку нельзя приравнивать к сценарию на основе 38 000 MAC-адресов, а обе суммы нельзя выдавать за подтверждённую выручку.
Атрибуцию в адрес Zhejiang Fengwo Bitsight построила на общих данных TLS-сертификатов, открытых wiki-файлах, повторно использованных адресах электронной почты, денежных связях и патентах. Китайские реестры действительно называют компанию правообладателем нескольких близких технологий. Патент CN117421142B, выданный в ноябре 2024 года, касается отслеживания процесса выполнения поведенческих модулей цифрового человека. Заявка CN117478834A описывает наблюдение за удалёнными экранами с помощью размещённых в облаке миниатюр и сравнения ключевых кадров. Ни один документ не упоминает рекламу и сам по себе не доказывает, что Fengwo управляла Fuyao либо занималась рекламным мошенничеством.
По состоянию на 19:48 в проверенных материалах отсутствовали полные перечни затронутых пакетов приложений, сборок прошивок, моделей и сетевых индикаторов, а также точная инструкция по обнаружению Fuyao. Неизвестны фактическое число приставок, реальная выручка и смысл маркетингового выражения «цифровые люди с ИИ». В июне 2025 года ФБР рекомендовало проверить подключённые к домашней сети устройства, отключить подозрительные аппараты и своевременно обновлять прошивки. Особого внимания требуют безымянные стриминговые приставки, которые продаются с обещаниями «бесплатного контента». Наличие Play Protect стоит проверять в настройках устройства и по актуальному списку партнёров Android TV, но одна только модель на корпусе пока не позволяет надёжно определить заражение.
Поведение устройства зависело от сигнала HDMI. При активном HDMI приставка обычно превращалась в выходной узел SOCKS5: посторонний трафик шёл через широкополосное подключение владельца и получал его домашний IP-адрес. Когда HDMI выключался, устройство ожидало задания для рекламного мошенничества и затем имитировало действия посетителя на сайтах. Одна коробочка могла приносить операторам деньги двумя способами: фальшивыми рекламными взаимодействиями и сдачей чужого интернет-канала в качестве резидентского прокси.
Профиль мнимого смартфона поступал с командно-управляющего, или C2-сервера. Система объединяла базовую конфигурацию с отдельным файлом различий для конкретной модели, так называемым diff, после чего удаляла свойства чипсета, способные выдать плату ТВ-приставки. Маскировались платформы Rockchip, Amlogic и Allwinner. После подмены данных устройство представлялось телефоном Samsung, Huawei, Xiaomi или Vivo, хотя физически оставалось приставкой.
На след Fuyao исследователи вышли после регистрации просроченного домена, прежде служившего фабричным бэкдором и сборщиком телеметрии. Bitsight превратила его в sinkhole, то есть сервер-перехватчик, куда продолжили обращаться устройства со старым адресом в настройках. За одни сутки после фильтрации сообщений от приставок с приложениями Fuyao туда поступило 65 957 отчётов примерно от 38 000 уникальных MAC-адресов. Большинство устройств называли себя телефонами. Однако 38 000 MAC-адресов нельзя считать числом физических приставок: идентификаторы могли подменяться и меняться, а один аппарат мог сообщить несколько адресов. К тому же перехватчик видел лишь часть инфраструктуры.
Чаще всего в распознанных отчётах встречалось обозначение H96_MAX_V11. Bitsight предупредила, что выборка была смещена в сторону старых моделей одной марки, поэтому H96_MAX_V11 нельзя объявлять единственной или даже самой распространённой заражённой моделью во всей сети. Отдельно исследователи обнаружили рекламу Fengwo, где говорилось более чем о 120 000 «цифровых людях с ИИ». Что именно компания считала таким «цифровым человеком», в отчёте не определено. Эту цифру нельзя сопоставлять ни с 38 000 MAC-адресов, ни с 65 957 сообщениями; ни один из показателей не раскрывает реальный размер парка устройств.
Google сообщила изданию The Hacker News, что затронутые приставки малоизвестных брендов не имели сертификации Play Protect. Представитель компании пояснил: «Эти устройства малоизвестных брендов не были Android-устройствами, сертифицированными Play Protect. Если устройство не сертифицировано Play Protect, у Google нет сведений о результатах его проверки на безопасность и совместимость. Сертифицированные Play Protect Android-устройства проходят обширное тестирование, призванное гарантировать качество и безопасность пользователей. Чтобы проверить, создано ли устройство на базе Android TV OS и сертифицировано ли оно Play Protect, можно обратиться к наиболее актуальному списку партнёров на нашем сайте Android TV. Также можно выполнить указанные действия, чтобы проверить наличие у устройства сертификации Play Protect».
Автоматические клики Fuyao строились на разборе картинки и элементов интерфейса. Приложение Script содержало модель обнаружения объектов YOLOv8s под названием lourui_2, обученную распознавать 12 элементов экрана, включая обычные области рекламных баннеров и виджеты Taboola. К ней добавлялись данные специальных возможностей Android и оптическое распознавание текста Google ML Kit OCR. Исследователь угроз Bitsight Pedro Falé описал этот механизм так: «Он объединяет три системы зрения и рассуждения в едином интерфейсе». Иными словами, программа одновременно смотрела на изображение, читала структуру интерфейса и распознавала текст.
Сценарии для рекламных кампаний собирали в собственном визуальном редакторе на базе Blockly, разработанного Google конструктора программ из перетаскиваемых блоков. Готовую логику экспортировали в JavaScript, загружали в S3, а затем отправляли приставкам на исполнение. На четырёх тестовых устройствах Bitsight перехватила около 40 мошеннических заданий, относившихся к 21 уникальной кампании и содержавших 166 уникальных модулей. В восстановленном комментарии разработчика говорилось, что шаблонная система позволит небольшой группе опытных инженеров обслуживать менее квалифицированных операторов кампаний и сократить расходы.
Выплаты проходили через сеть сайтов-издателей. Bitsight нанесла на карту 144 домена, которыми управляли операторы, и распределила их по семи группам получателей. Как минимум 84 домена загружали на главной странице тег Taboola. Публичный файл sellers.json компании Taboola помог связать эти сайты с организациями, получавшими рекламные деньги в Гонконге и Сингапуре. Такая схема позволяла генерировать посещения и клики на собственных площадках, после чего проводить доход через зарегистрированных участников рекламной цепочки.
Расчётная валовая отдача Bitsight составляла 1,25 доллара с устройства в сутки. Для 38 000 одновременно работающих аппаратов это около 47 500 долларов в день, но речь идёт о модели, а не о замеченных платежах. Отдельная оценка допускала доход до 40 миллионов долларов в год, если сеть работала в размере, заявленном в рекламе Fengwo. В расчёте упоминались 30–40% выявленных мошеннических действий и 70% заполняемости рекламных мест, однако полную формулу Bitsight не опубликовала. Поэтому годовую оценку нельзя приравнивать к сценарию на основе 38 000 MAC-адресов, а обе суммы нельзя выдавать за подтверждённую выручку.
Атрибуцию в адрес Zhejiang Fengwo Bitsight построила на общих данных TLS-сертификатов, открытых wiki-файлах, повторно использованных адресах электронной почты, денежных связях и патентах. Китайские реестры действительно называют компанию правообладателем нескольких близких технологий. Патент CN117421142B, выданный в ноябре 2024 года, касается отслеживания процесса выполнения поведенческих модулей цифрового человека. Заявка CN117478834A описывает наблюдение за удалёнными экранами с помощью размещённых в облаке миниатюр и сравнения ключевых кадров. Ни один документ не упоминает рекламу и сам по себе не доказывает, что Fengwo управляла Fuyao либо занималась рекламным мошенничеством.
По состоянию на 19:48 в проверенных материалах отсутствовали полные перечни затронутых пакетов приложений, сборок прошивок, моделей и сетевых индикаторов, а также точная инструкция по обнаружению Fuyao. Неизвестны фактическое число приставок, реальная выручка и смысл маркетингового выражения «цифровые люди с ИИ». В июне 2025 года ФБР рекомендовало проверить подключённые к домашней сети устройства, отключить подозрительные аппараты и своевременно обновлять прошивки. Особого внимания требуют безымянные стриминговые приставки, которые продаются с обещаниями «бесплатного контента». Наличие Play Protect стоит проверять в настройках устройства и по актуальному списку партнёров Android TV, но одна только модель на корпусе пока не позволяет надёжно определить заражение.
