Attenzione ai TV Box Android economici: possono trasformare la tua rete in un proxy per hacker

Bitsight ha scoperto la campagna Fuyao, che coinvolge migliaia di TV Box Android economici compromessi. I dispositivi si spacciano per smartphone, effettuano frodi pubblicitarie e possono trasformarsi in proxy SOCKS5 sfruttando la connessione Internet del proprietario senza alcuna autorizzazione.

I ricercatori di Bitsight hanno scoperto una campagna deniminata Fuyao, in cui i set-top box TV Android economici imitano gli smartphone Samsung, Huawei, Xiaomi e Vivo.

I dispositivi fanno clic sugli annunci pubblicitari e possono anche funzionare come proxy e far passare il traffico di altre persone attraverso di essi all’insaputa del proprietario. Gli esperti associano questa attività alla società cinese Zhejiang Fengwo IoT Technology Co., Ltd.

Secondo gli esperti, alcuni set-top box vengono dotati di applicazioni che riscrivono completamente il loro profilo hardware: il server di controllo invia loro la configurazione del modello di smartphone selezionato, e il malware sostituisce la vera scheda basata su Rockchip, Amlogic o Allwinner.

L’ulteriore comportamento del dispositivo dipende dalla disponibilità di una connessione tramite HDMI. Se il set-top box rileva una connessione HDMI attiva, si trasforma in un proxy SOCKS5 e trasmette il traffico di altre persone attraverso l’Internet domestico del proprietario.

Dopo che l’HDMI è stato disattivato (o se è assente), il dispositivo commette frodi pubblicitarie e fa clic sugli annunci pubblicitari su siti di proprietà degli aggressori.

I ricercatori sono stati in grado di raccogliere informazioni su Fuyao, ottenendo il controllo di un dominio vacante, utilizzato dagli operatori della campagna per raccogliere dati di telemetria e mantenere il funzionamento di una backdoor integrata nelle console.

In un solo giorno, i ricercatori hanno analizzato 65.957 richieste da 38.000 indirizzi MAC univoci e la maggior parte dei set-top box si “rappresentavano” come smartphone.

Tuttavia, il rapporto rileva che queste cifre non riflettono il numero esatto dei dispositivi infetti, poiché il sistema è in grado di ruotare gli identificatori falsi.

Il modello H96_MAX_V11 è stato trovato più spesso nella telemetria studiata, ma Bitsight avverte che il campione è sbilanciato verso dispositivi più vecchi della stessa marca. Gli esperti non dispongono ancora di un elenco completo dei modelli, del firmware e degli indicatori di rete interessati.

Fuyao utilizza una visione personalizzata per cercare annunci pubblicitari. Così, nell’applicazione Script preinstallata, è stato scoperto un modello YOLOv8s chiamato lourui_2, addestrato a riconoscere 12 elementi dell’interfaccia, inclusi banner pubblicitari e widget Taboola. È integrato dai dati del servizio di accessibilità Android e dall’OCR del kit ML di Google. Secondo i ricercatori, il sistema “combina tre motori di visione e analisi in un’unica interfaccia”.

Gli operatori Fuyao raccolgono tutta la logica delle loro campagne nel proprio editor basato sul framework Blockly. Gli script finiti vengono esportati in JavaScript, caricati su S3 e quindi inviati ai set-top box. Su quattro dispositivi di prova, gli specialisti hanno intercettato circa 40 attività relative a 21 campagne fraudolente e hanno raccolto da 166 diversi blocchi.

Per monetizzare la botnet dai set-top box televisivi, gli aggressori hanno utilizzato una rete di propri siti web. Pertanto, gli analisti sono stati in grado di collegare 144 domini a Fuyao e almeno 84 siti hanno inserito il tag Taboola nella pagina principale e i dati di sellers.json hanno aiutato a collegarli ad organizzazioni di Hong Kong e Singapore.

I ricercatori stimano che il possibile reddito degli aggressori sia pari a 1,25 dollari per dispositivo attivo al giorno, ovvero a circa 47.500 dollari al giorno da 38.000 set-top box.

I rappresentanti di Google hanno già detto ai media che i set-top box esaminati da Bitsight non avevano la certificazione Play Protect. L’azienda consiglia di verificare la certificazione nelle impostazioni del dispositivo e di controllare anche l’elenco dei partner ufficiali di Android TV prima dell’acquisto.

Luigi Zullo

Ricercatore di sicurezza informatica con esperienza nell’analisi delle vulnerabilità, nella mitigazione del rischio cyber, nelle attività di red teaming ed ethical hacking e nella protezione di sistemi complessi. Specializzato in penetration testing e Threat Intelligence, contribuisce al rafforzamento della resilienza digitale di infrastrutture e reti aziendali.

Aree di competenza: Penetration Testing, Threat Intelligence, Red Teaming, Vulnerability Assessment, Incident Response