I TV Box H96 gestiscono una rete nascosta di frode pubblicitaria e proxy

Una nuova analisi dell'azienda di sicurezza Bitsight mostra che i TV box H96 e chiavette di streaming simili senza marca vengono usati come rete nascosta di frode pubblicitaria e proxy residenziali. I ricercatori di sicurezza avvertono da anni che i TV box generici ed economici, venduti come modo per guardare contenuti illimitati con un pagamento una tantum, affittano segretamente la connessione internet del proprietario a estranei. Il nuovo rapporto, pubblicato il 30 luglio 2026, aggiunge che questi dispositivi si spacciano anche per telefoni cellulari per cliccare annunci su siti web generati dall'IA, frodando i commercianti online e le reti pubblicitarie. Pedro Falé, ricercatore sulle minacce di Bitsight, ha dichiarato a KrebsOnSecurity di aver sbirciato dentro l'operazione registrando un nome di dominio scaduto che era stato usato per coordinare i clic fraudolenti sugli annunci per la popolare marca H96.

Il dominio scaduto era stato usato per la telemetria, ovvero raccoglieva periodicamente informazioni complete sull'hardware e l'intero elenco delle app installate da decine di migliaia di chiavette H96 collegate a televisori in tutto il mondo. Quando Falé ha esaminato il traffico inviato al dominio, ha scoperto che quasi tutti i TV box che trasmettevano dati dichiaravano di essere modelli di telefoni cellulari di Samsung, Vivo, Huawei e Xiaomi. Ha detto che diversi dispositivi che si collegavano a questa backdoor erano telefoni, il che era completamente sbagliato. Tutti i dispositivi riportavano di avere le stesse due app installate, e quelle app erano prodotte da una società chiamata Zhejiang Fengwo IoT Technology Ltd, un'entità fondata nel 2019 nella Cina continentale che gestisce un portafoglio di editoria pubblicitaria con il nome Fengwo Group. Bitsight TRACE ha identificato diverse identità legali di comodo a Hong Kong, Singapore e singole persone usate per raccogliere la monetizzazione e ha rintracciato l'operazione fino a Zhejiang Fengwo. L'azienda ha registrato diversi brevetti che corrispondono al funzionamento interno di queste app.

Le app aiutano a coordinare una rete di frode pubblicitaria che usa questi dispositivi H96 come fonte di traffico forzato per cliccare annunci su siti web generati dall'IA gestiti dal Fengwo Group. Bitsight ha scoperto che i siti contengono articoli di notizie e grafiche generati automaticamente in una serie di categorie, tra cui finanza, salute, istruzione, giochi, musica e blog di cucina. Hanno anche scoperto che nessuno di quei siti mostrava annunci a meno che il dispositivo che visitava la pagina non corrispondesse al profilo mobile falsificato di questi dispositivi H96. Il dominio del Fengwo Group, fwgcloud.com, afferma che l'azienda sta ridefinendo i confini dell'interazione uomo-IA e che ha creato più di 120.000 esseri umani digitali IA disponibili a noleggio per tutto, dalla compagnia emotiva al servizio clienti 24/7 e al design creativo. Bitsight ha scoperto che il dominio condivideva i dati del suo certificato SSL con altri domini associati alle app trovate sui dispositivi H96, in particolare il meccanismo di falsificazione del telefono. Il dominio ospita anche una piattaforma wiki interna che collega il Fengwo Group a un'implementazione proprietaria di Google Blockly, un linguaggio di programmazione visuale originariamente progettato per aiutare i bambini a imparare il software. I dipendenti Fengwo usano Blockly per costruire i siti web fittizi, permettendo a operatori poco qualificati di trascinare blocchi di codice insieme in un editor senza bisogno di capire cosa fa il codice. Un operatore può trascinare blocchi insieme per definire ogni routine di frode per un dato tipo di attività, e una volta salvata viene esportata come JavaScript e caricata su bucket di archiviazione cloud.

Quando una chiavetta H96 viene selezionata per un'attività di frode specifica, riceve il modulo Blockly appropriato in base all'attività desiderata. Queste attività possono includere l'avvio silenzioso di un browser web, la visita di siti web, la navigazione di pagine, la gestione di schede e il clic sugli annunci. Per garantire che i TV box che si spacciano per telefoni cellulari possano cliccare in modo affidabile sugli annunci mostrati tramite i siti web generati dall'IA, il gruppo Fengwo fonde tre sistemi di visione e ragionamento in un'unica interfaccia, permettendo ai bot di identificare correttamente un annuncio su una pagina web e navigare il sito proprio come farebbe un umano. Bitsight ha anche scoperto che i dispositivi H96 o inoltravano traffico proxy residenziale o partecipavano alla frode pubblicitaria, ma mai entrambe le cose contemporaneamente. Quando i TV box rilevano un segnale HDMI da un televisore collegato, indicando che l'utente intende guardare contenuti video, il box di solito funziona come proxy residenziale. Quando la TV è spenta, torna in attesa di lavori di frode pubblicitaria. Falé ritiene che i box siano configurati in questo modo perché le attività di frode pubblicitaria sono molto più intensive in termini di risorse e potrebbero interferire con lo scopo dichiarato del dispositivo di streaming video.

Nonostante ripetuti avvertimenti dell'FBI e dei leader del settore della sicurezza, importanti fornitori di e-commerce come Amazon, Best Buy e Newegg continuano a vendere centinaia di modelli e marche diversi che includono versioni non ufficiali del sistema operativo Android di Google. Questi dispositivi sono spesso pubblicizzati, spesso tramite influencer online, come un modo per accedere a una vasta gamma di servizi di streaming e trasmissioni in diretta senza abbonamento. Oltre a arruolare il TV box dell'utente nelle reti di frode pubblicitaria, questi dispositivi di streaming di marca sconosciuta arrivano quasi universalmente con software proxy residenziale preinstallato. Questo software affitta l'indirizzo internet dell'utente a clienti paganti anonimi, che vanno da aggressive aziende di scraping di contenuti a bagarini di biglietti e veri e propri criminali informatici. Questi TV box generici e generalmente economicissimi sono anche terribilmente insicuri per impostazione predefinita e mancano di qualsiasi tipo di autenticazione, quindi installarne uno su una rete domestica o aziendale invita ulteriori guai. A gennaio, il servizio di tracciamento proxy Synthient ha documentato come molteplici botnet avessero rapidamente schiavizzato milioni di TV box usando una complessa interazione di vulnerabilità di sicurezza sia nel software proxy residenziale che nei dispositivi di streaming stessi.

Bitsight ha dichiarato di aver tracciato circa 38.000 TV box in tutto il mondo che contattavano il dominio scaduto del Fengwo Group. Basandosi su quel numero, il rapporto stima che questa rete di frode pubblicitaria generi ricavi vicini ai 50.000 dollari al giorno, senza contare i sostanziali ricavi dal lato proxy residenziale dell'attività. Falé ha sottolineato che queste stime sono altamente conservative e basate sulla telemetria di solo uno dei domini principali ma più vecchi del Fengwo Group. Per quanto riguarda l'affermazione del Fengwo Group di avere 120.000 esseri umani digitali a loro disposizione, il rapporto di Bitsight conclude che potrebbe essere uno schema di marketing, un modo per evitare di attirare sospetti sulle operazioni dell'azienda. Storicamente, quando si ha a che fare con servizi proxy o DDoS, i siti web a volte presentano facciate discrete per non pubblicizzare la dimensione della loro botnet o la capacità DDoS, e questo potrebbe essere il caso. L'azienda non ha risposto a una richiesta di commento da KrebsOnSecurity; un'email all'indirizzo di contatto elencato sulla sua homepage è tornata indietro dicendo che la casella era piena o riceveva troppa posta.

Per i consumatori, il consiglio pratico è evitare TV box generici che promettono troppo. Attenersi a marche note di produttori affidabili, e poi essere parsimoniosi con qualsiasi app si installi, poiché molte di quelle possono includere software proxy residenziale. Google afferma che i consumatori possono confermare se un dispositivo è costruito con il sistema operativo Android TV ufficiale e la certificazione Play Protect seguendo le sue istruzioni online. Synthient mantiene un elenco aggiornato di dispositivi IoT che sono stati conosciuti per essere spediti ai consumatori con software proxy residenziale e altre app dannose preinstallate, e quell'elenco include altri dispositivi come cornici digitali per foto. Sul lato rete, un servizio DNS privato e sicuro come AEU DNS può dare a famiglie e piccole imprese un modo coerente e affidabile per ogni dispositivo di cercare indirizzi internet, che è una misura igienica utile quando molti dispositivi economici vengono spediti con software sconosciuto.