✔Бюджетные ТВ-приставки имитируют смартфоны и работают как прокси - «Новости»
Исследователи из компании Bitsight обнаружили кампанию Fuyao, в рамках которой бюджетные ТВ-приставки на Android имитируют смартфоны Samsung, Huawei, Xiaomi и Vivo. Устройства скликивают рекламу, а также могут работать как прокси и пропускать через себя чужой трафик без ведома владельца. Эксперты связывают эту активность с китайской компанией Zhejiang Fengwo IoT Technology Co., Ltd.
По данным специалистов, некоторые приставки сразу поставляются с приложениями, которые полностью переписывают их аппаратный профиль: управляющий сервер передает им конфигурацию выбранной модели смартфона, а малварь подменяет свойства, способные выдать настоящую плату на базе Rockchip, Amlogic или Allwinner.
Дальнейшее поведение девайса зависит от наличия подключения через HDMI. Если приставка обнаруживает активное HDMI-подключение, она превращается в SOCKS5-прокси и пропускает чужой трафик через домашний интернет владельца. После отключения HDMI (или при его отсутствии) устройство занимается рекламным мошенничеством и кликает по рекламе на сайтах, принадлежащих злоумышленникам.
Схема атаки
Исследователи сумели собрать информацию о Fuyao, получив контроль над освободившимся доменом, который использовался операторами кампании для сбора телеметрии и поддержания работы «вшитого» в приставки бэкдора.
Всего за сутки sinkhole исследователей получил 65 957 запросов от 38 000 уникальных MAC-адресов, и большинство приставок «представлялись» смартфонами. При этом в отчете отмечается, что эти цифры не отражают точное количество зараженных устройств, так как система способна производить ротацию поддельных идентификаторов.
Чаще всего в изученной телеметрии встречалась модель H96_MAX_V11, но Bitsight предупреждает, что выборка смещена в сторону старых девайсов одного бренда. Полного списка затронутых моделей, прошивок и сетевых индикаторов у экспертов пока нет.
Для поиска рекламы Fuyao использует компьютерное зрение. Так, в предустановленном приложении Script была обнаружена модель YOLOv8s под названием lourui_2, обученная распознавать 12 элементов интерфейса, включая рекламные баннеры и виджеты Taboola. Ее дополняют данные Android Accessibility service и OCR из Google ML Kit. По словам исследователей, в результате система «объединяет три механизма машинного зрения и анализа в одном интерфейсе».
Всю логику своих кампаний операторы Fuyao собирают в собственном редакторе на базе фреймворка Blockly. Готовые сценарии экспортируются в jаvascript, загружаются в S3, а затем рассылаются на ТВ-приставки. На четырех тестовых устройствах специалисты перехватили около 40 заданий, относящихся к 21 мошеннической кампании и собранных из 166 разных программных блоков.
Для монетизации ботнета из ТВ-приставок злоумышленники использовали сеть собственных сайтов. Так, аналитикам удалось связать с Fuyao 144 домена, и как минимум 84 сайта размещали тег Taboola на главной странице, а данные sellers.json помогли связать их с организациями в Гонконге и Сингапуре.
Исследователи оценивают возможный доход злоумышленников в 1,25 доллара США с одного активного устройства в день, или около 47 500 долларов США в день с 38 000 приставок.
Представители Google уже сообщили СМИ, что исследованные Bitsight приставки не имели сертификации Play Protect. В компании рекомендовали проверять сертификацию в настройках устройств, а также перед покупкой сверяться со списком официальных партнеров Android TV.
