H96-TV-Boxen betreiben versteckten Werbebetrug und Proxy-Schema

Eine neue Analyse des Sicherheitsunternehmens Bitsight zeigt, dass H96-TV-Boxen und ähnliche No-Name-Streaming-Sticks als verstecktes Werbebetrugs- und Residential-Proxy-Netzwerk genutzt werden. Sicherheitsforscher warnen seit Jahren, dass billige generische TV-Boxen, die als Möglichkeit verkauft werden, unbegrenzte Inhalte gegen eine einmalige Gebühr zu sehen, heimlich die Internetverbindung des Besitzers an Fremde vermieten. Der neue Bericht, veröffentlicht am 30. Juli 2026, fügt hinzu, dass diese Geräte sich auch als Mobiltelefone ausgeben, um auf KI-generierten Websites Anzeigen zu klicken und so Online-Händler und Werbenetzwerke zu betrügen. Pedro Falé, ein Bedrohungsforscher bei Bitsight, sagte gegenüber KrebsOnSecurity, er habe die Operation von innen untersucht, indem er einen abgelaufenen Domainnamen registrierte, der zur Koordinierung gefälschter Anzeigenklicks für die beliebte Marke H96 verwendet worden war.

Die abgelaufene Domain war für Telemetrie genutzt worden, das heißt, sie sammelte regelmäßig vollständige Hardware-Informationen und die gesamte Liste der installierten Apps von Zehntausenden H96-Streaming-Sticks, die weltweit an Fernseher angeschlossen waren. Als Falé den Datenverkehr untersuchte, der an die Domain gesendet wurde, stellte er fest, dass fast alle TV-Boxen, die Daten übermittelten, angaben, Mobiltelefonmodelle von Samsung, Vivo, Huawei und Xiaomi zu sein. Er sagte, mehrere Geräte, die an dieses Backdoor berichteten, seien Telefone, was völlig falsch sei. Alle Geräte meldeten, dass dieselben zwei Apps installiert seien, und diese Apps stammten von einem Unternehmen namens Zhejiang Fengwo IoT Technology Ltd, einer 2019 in Festlandchina gegründeten Einheit, die unter dem Namen Fengwo Group ein Werbeveröffentlichungsportfolio betreibt. Bitsight TRACE identifizierte mehrere juristische Shell-Identitäten in Hongkong, Singapur und von Einzelpersonen, die zur Monetarisierung genutzt wurden, und verfolgte die Operation bis zu Zhejiang Fengwo zurück. Das Unternehmen hat mehrere Patente angemeldet, die der Funktionsweise dieser Apps entsprechen.

Die Apps helfen, ein Werbebetrugsnetzwerk zu koordinieren, das diese H96-Geräte als gefangene Datenverkehrsquelle nutzt, um auf Anzeigen auf KI-generierten Websites zu klicken, die von der Fengwo Group betrieben werden. Bitsight entdeckte, dass die Websites maschinell generierte Nachrichtenartikel und Grafiken aus einer Reihe von Kategorien enthalten, darunter Finanzen, Gesundheit, Bildung, Gaming, Musik und Food-Blogs. Sie fanden auch heraus, dass keine dieser Seiten Anzeigen anzeigte, es sei denn, das Gerät, das die Seite besuchte, entsprach dem gefälschten Mobilprofil dieser H96-Geräte. Die Domain der Fengwo Group, fwgcloud.com, behauptet, das Unternehmen definiere die Grenzen der Mensch-KI-Interaktion neu und habe mehr als 120.000 KI-Digitalmenschen geschaffen, die für alles von emotionaler Begleitung bis hin zu 24/7-Kundenservice und kreativem Design gemietet werden können. Bitsight fand heraus, dass die Domain ihre SSL-Zertifikatsdaten mit anderen Domains teilte, die mit den auf H96-Geräten gefundenen Apps in Verbindung stehen, insbesondere dem Mechanismus zur Telefon-Spoofing. Die Domain hostet auch eine interne Wiki-Plattform, die die Fengwo Group mit einer proprietären Implementierung von Google Blockly verbindet, einer visuellen Programmiersprache, die ursprünglich entwickelt wurde, um Kindern Software beizubringen. Fengwo-Mitarbeiter nutzen Blockly, um die Schein-Websites zu erstellen, sodass gering qualifizierte Bediener Codeblöcke in einem Editor zusammenziehen können, ohne verstehen zu müssen, was der Code tut. Ein Bediener kann Blöcke zusammenziehen, um jede Betrugsroutine für einen bestimmten Aufgabentyp zu definieren, und nach dem Speichern wird sie als JavaScript exportiert und in Cloud-Speicher-Buckets hochgeladen.

Wenn ein H96-Streaming-Stick für eine bestimmte Betrugsaufgabe ausgewählt wird, erhält er das entsprechende Blockly-Modul je nach gewünschter Aufgabe. Diese Aufgaben können das stille Starten eines Webbrowsers, das Besuchen von Websites, das Durchsuchen von Seiten, das Verwalten von Tabs und das Klicken auf Anzeigen umfassen. Um sicherzustellen, dass die TV-Boxen, die sich als Mobiltelefone ausgeben, zuverlässig auf Anzeigen klicken können, die über die KI-generierten Websites angezeigt werden, kombiniert die Fengwo-Gruppe drei Vision- und Reasoning-Systeme in einer einzigen Schnittstelle, sodass die Bots eine Anzeige auf einer Webseite korrekt identifizieren und die Website ähnlich wie ein Mensch navigieren können. Bitsight fand auch heraus, dass die H96-Geräte entweder Residential-Proxy-Datenverkehr weiterleiteten oder an Werbebetrug teilnahmen, aber nie beides gleichzeitig. Wenn die TV-Boxen ein HDMI-Signal von einem angeschlossenen Fernseher erkennen, was darauf hindeutet, dass der Benutzer Videoinhalte streamen möchte, fungiert die Box normalerweise als Residential-Proxy. Wenn der Fernseher ausgeschaltet ist, wechselt sie zurück und wartet auf Werbebetrugsaufträge. Falé glaubt, dass die Boxen so eingerichtet sind, weil Werbebetrugsaktivitäten weitaus ressourcenintensiver sind und den angegebenen Zweck des Geräts, Videoinhalte zu streamen, beeinträchtigen könnten.

Trotz wiederholter Warnungen des FBI und führender Persönlichkeiten der Sicherheitsbranche verkaufen große E-Commerce-Anbieter wie Amazon, Best Buy und Newegg weiterhin Hunderte verschiedener Modelle und Marken, die inoffizielle Versionen von Googles Android-Betriebssystem bündeln. Diese Geräte werden häufig, oft über Online-Influencer, als Möglichkeit beworben, auf eine breite Palette von Streaming-Diensten und Live-Übertragungen ohne Abonnement zuzugreifen. Zusätzlich zur Rekrutierung der TV-Box des Benutzers in Werbebetrugsnetzwerke kommen diese markenfremden Streaming-Geräte fast ausnahmslos mit vorinstallierter Residential-Proxy-Software. Diese Software vermietet die Internetadresse des Benutzers an anonyme zahlende Kunden, die von aggressiven Content-Scraping-Firmen bis hin zu Ticket-Scalpern und offenen Cyberkriminellen reichen. Diese generischen und in der Regel extrem billigen TV-Boxen sind zudem standardmäßig schrecklich unsicher und verfügen über keinerlei Authentifizierung, sodass die Installation in einem Heim- oder Büronetzwerk weiteren Unfug einlädt. Im Januar dokumentierte der Proxy-Tracking-Dienst Synthient, wie mehrere Botnets schnell Millionen von TV-Boxen mithilfe eines komplexen Zusammenspiels von Sicherheitslücken sowohl in der Residential-Proxy-Software als auch in den Streaming-Geräten selbst versklavten.

Bitsight gab an, weltweit etwa 38.000 TV-Boxen verfolgt zu haben, die nach Hause an die abgelaufene Fengwo-Group-Domain telefonierten. Basierend auf dieser Zahl schätzt der Bericht, dass dieses Werbebetrugsnetzwerk Einnahmen von fast 50.000 Dollar pro Tag erzielt, ohne die erheblichen Einnahmen aus dem Residential-Proxy-Geschäft. Falé betonte, dass diese Schätzungen sehr konservativ seien und auf Telemetrie von nur einer der Kern-, aber älteren Domains der Fengwo Group basieren. Was die Behauptung der Fengwo Group betrifft, 120.000 Digitalmenschen zur Verfügung zu haben, kommt der Bericht von Bitsight zu dem Schluss, dass es sich um ein Marketing-Schema handeln könnte, um die Operationen des Unternehmens nicht verdächtig erscheinen zu lassen. Historisch gesehen präsentieren Websites im Umgang mit Proxy-Diensten oder DDoS manchmal unauffällige Fassaden, um nicht ihre Botnet-Größe oder DDoS-Fähigkeit zu bewerben, und dies könnte hier der Fall sein. Das Unternehmen reagierte nicht auf eine Anfrage von KrebsOnSecurity um einen Kommentar; eine E-Mail an die auf der Homepage angegebene Kontaktadresse kam mit der Meldung zurück, dass das Postfach voll sei oder zu viele E-Mails erhalte.

Für Verbraucher lautet der praktische Rat, generische TV-Boxen zu meiden, die zu viel versprechen. Bleiben Sie bei Marken von renommierten Herstellern und seien Sie dann sparsam mit allen Apps, die Sie installieren, da viele davon ebenfalls Residential-Proxy-Software bündeln können. Google sagt, Verbraucher können bestätigen, ob ein Gerät mit dem offiziellen Android TV OS und der Play Protect-Zertifizierung gebaut wurde, indem sie die Online-Anweisungen befolgen. Synthient führt eine laufende Liste von IoT-Geräten, die bekanntermaßen mit vorinstallierter Residential-Proxy-Software und anderen bösartigen Apps an Verbraucher ausgeliefert wurden, und diese Liste enthält auch andere Geräte wie digitale Bilderrahmen. Auf der Netzwerkseite kann ein privater, sicherer DNS-Dienst wie AEU DNS Haushalten und kleinen Unternehmen eine konsistente, vertrauenswürdige Möglichkeit bieten, dass jedes Gerät Internetadressen nachschlägt, was eine nützliche Hygienemaßnahme ist, wenn viele billige Geräte mit unbekannter Software ausgeliefert werden.