Caixas de TV Android fraudam anúncios e criam proxies residenciais clandestinos

Pesquisadores da Bitsight mapearam a operação Fuyao, que utiliza dispositivos de baixo custo mascarados como smartphones para automatizar cliques em anúncios e rotear tráfego de terceiros através de redes domésticas.

Componente	Caixas de TV Android de baixo custo (notavelmente o modelo H96_MAX_V11) rodando aplicativos maliciosos pré-instalados.
Vetor	Aplicativos introduzidos na cadeia de suprimentos se conectam a servidores de comando e controle para mascarar a identidade do hardware, automatizar cliques em anúncios e atuar como nós de saída de proxy SOCKS5.
Impacto	Fraude publicitária em escala, consumo indevido de banda larga residencial e uso da conexão do proprietário para rotear tráfego potencialmente malicioso de terceiros.
Prioridade	Bloqueio de domínios e infraestrutura relacionados à operação na rede corporativa, inspeção de tráfego de saída SOCKS5 em dispositivos de internet das coisas e avaliações de certificação de hardware.

Resumo técnico

Uma investigação detalhada conduzida pela empresa de inteligência de ameaças Bitsight expôs uma operação sofisticada de fraude e abuso de dispositivos, designada como operação Fuyao. A campanha envolve caixas de televisão Android de baixo custo que são distribuídas no mercado já configuradas com aplicativos ocultos. Esses aplicativos reconfiguram fundamentalmente a identidade do hardware, fazendo com que os set-top-boxes se apresentem na internet como smartphones legítimos de marcas conhecidas, como Samsung, Huawei, Xiaomi e Vivo.

A atribuição da campanha recai sobre a Zhejiang Fengwo IoT Technology Co., Ltd., uma empresa fundada em 2019. A conexão entre o desenvolvedor do malware e a empresa foi estabelecida por meio do cruzamento de dados rigorosos. Investigações da Bitsight identificaram correspondências em certificados TLS, arquivos expostos em wikis corporativas, reúso de endereços de e-mail gerenciais, vínculos diretos nas cadeias de receita financeira e registros de patentes registrados na China. A descoberta inicial ocorreu quando pesquisadores conseguiram registrar um domínio expirado que era utilizado como backdoor de fábrica e coletor de telemetria pelo malware.

O alcance exato da frota comprometida permanece sem consolidação definitiva. Os pesquisadores observaram que o sistema operacional malicioso frequentemente rotaciona identificadores falsos. No entanto, em um único dia de monitoramento focado em aplicações relacionadas à operação Fuyao, um sinkhole controlado pela Bitsight registrou 65.957 conexões provenientes de aproximadamente 38.000 endereços MAC físicos distintos. A análise da telemetria revelou que a maioria dos dispositivos rastreáveis reportava o modelo H96_MAX_V11, embora a empresa alerte que os modelos mais antigos de uma única marca dominaram visivelmente essa estatística devido a limitações de visibilidade de rede.

Fluxo técnico

O núcleo técnico da operação Fuyao baseia-se em uma divide de tarefas instruída pelo servidor de comando e controle. O controlador empurra para cada dispositivo perfis completos de smartphones, combinando uma configuração base genérica com diferenças específicas para o modelo de destino. O aplicativo malicioso então deleta ativamente as propriedades nativas do sistema que revelariam a verdadeira arquitetura do chipset, ocultando a presença de processadores económicos comuns em boxes de TV, como os fabricados pela Rockchip, Amlogic ou Allwinner.

Na fase de fraude de anúncios, a operação emprega automação avançada para assegurar cliques indetectáveis. O malware carrega um modelo de detecção de objetos YOLOv8s, chamado internamente de lourui_2, que foi treinado para reconhecer doze elementos na tela do dispositivo, como banners e widgets de redes como a Taboola. Esse rastreamento visual por inteligência artificial opera em conjunto com os dados de acessibilidade nativos do Android e a tecnologia de reconhecimento óptico de caracteres do Google ML Kit para mapear perfeitamente a interface e interagir com ela. Toda essa lógica visual é orquestrada dentro de um editor visual proprietário construído sobre o framework Blockly, do Google, permitindo que engenheiros da operação compilem fluxos de ataque em JavaScript, carreguem-nos em servidores e distribuam as rotinas para a frota de dispositivos.

O segundo módulo funcional é um mecanismo de proxy reverso residencial, meticulosamente orquestrado pelo estado de conexões físicas. Quando o dispositivo detecta de forma ativa a presença de um sinal HDMI ativo na entrada — presumivelmente indicando que o usuário está assitindo à televisão e não prestando atenção na caixa em segundo plano —, o modulo de fraude dorme e o hardware é forçado a operar como um nó de saída SOCKS5. Usando a banda larga residencial do proprietário como um túnel de Proxy. Quando o sinal HDMI é desligado, o sistema prioriza a automação de cliques para não degradar a rede durante a interação ativa do usuário.

Superfície afetada

Do ponto de vista de infraestrutura e modelos de negócios, o impacto financeiro modelado pela Bitsight é substancial. A recuperacao de lógica de compensação indicou que 144 domínios operados pelo mesmo grupo foram mapeados, com uma forte incidência de integração de anúncios direcionados, muitos operando através de redes legítimas de anúncios como a Taboola, e direcionando os lucros financeiros para entidadesFantasmas em Hong Kong e Cingapura. Com base nessa integração e modelagem de cliques, os pesquisadores estimam uma receita bruta potencial de aproximadamente $47.500 por dia.

• Dispositivos IoT de mídia executando versões não certificadas ou modificadas do sistema Android, vulneráveis a aplicações que abusam de permissões de acessibilidade.
• Redes residenciais consumidas como infraestrutura de proxy, aumentando a latência e o consumo de dados dos usuários afetados.
• A cadeia de suprimentos de hardware de consumo, demonstrando capacidade de injeção de software malicioso de fábrica e distribuindo routine frameworks que dependem de servidores mantidos por operadores mal-intencionados.

Hunting e telemetria

Para times defensivos blue team, trackear este tipo de ameaça requer foco em anomalias referentes a tráfego de rede não iniciado por usuário e troca de fingerprints no tráfego HTTP e SSL. Equipes de resposta forense e defesa de endpoints corporativos devem revisar ativos de internet das coisas relacionados a mídia e rastrear a comunicação externa de serviços não autorizados.

• Monitoramento proativo de saída de tráfego anônimo e não roteado: monitorar o tráfego de rede inland para conexões inativas, especialmente as entroncadas para serviços em nuvem estrangeiros, atividade de proxy reverso SOCKS5 ou protocolos não padrão via portas dinâmicas e encapsulamento.
• Análise de anomalias de tráfego DNS: rastrear e bloquear resolução de domínios orfaos conhecidos como backdoors C2, notavelmente sinais direcionando para infraestruturas recentementes registradas com baixa reputação.
• Inspeção de User-Agentes inconsistentes: investigar acessos e cliques automatizados na rede originados de dispositivos Android com comportamento ou gl/src padrão de WebView, onde os cabeçalhos reportam dispositivos móveis de alta performance mas a conexao originária possui tempo de resposta ou fingerprinting TLS带头人通常与低成本生態系統相關。
• Auditoria de pacotes de instalação de origem desconhecida: identificar a existência de serviços emídias silenciosos tais como os referenciados como lourui_2 ou ativadores baseados em Blockly.

Mitigação

A estratégia defensiva primária contra a introdução de devices comprometidos corporativa é segmentação estrita e aplicação rigorosa de listas de dispositivos aprovados. Com o mapeamento atual sendo dificultado pela ausência de uma lista oficial e consolidada de pacotes afetados e firmwares comprometidos, a mitigacão exige um ponto de vista de defesa profunda e preventiva.

• Certificação de Hardware: verificar rigorosamente a certificação Google Play Protect nos aparelhos antes de adquire-los. Adquirir apenas de fornecedores autorizados e reconhecidos pelo fabricante do sistema operacional subjacente.
• Contenção Imediata: desconectar o device suspeito das redes físicas e sem fio corporativas e de uso pessoal. O fator decisivo do ataque baseia-se em roteamente oculto, logo remover a fonte de alimentação e conexões a redes mundiais protege o tráfego interno.
• Rastreamento Forense: Em um pós-incidente confirmado, rastrear log de dados com o ISP provedor de internet local a nivel residêncial, documentando as faixas de IP e datas em que os aparelhos estiveram ativos para suporte.
• Higiene deermanns de Hardware: rejeitar caixas guia e promessas de contéudo gratuito de streaming baratos vendidos para acesso livre, garantindo que os protocolos de rede não bancam a infraestrutura de dispositivos clandestinos.