Недорогая телеприставка зачастую может приносить пассивный доход. Но не её владельцу, а удалённым китайским операторам. Специалисты Bitsight обнаружили ботнет Fuyao, который превратил Android TV-боксы в систему для накрутки рекламных просмотров и кликов.
Приложения Fuyao, по данным отчёта, могли поставляться предустановленными на некоторых устройствах H96. За сутки специалисты выявили около 38 тыс. уникальных MAC-адресов, тогда как связанная с операцией инфраструктура рекламировала сеть из более чем 120 тысяч «цифровых людей».
H96 — это классический представитель недорогих китайских ТВ-приставок на Android. Такие устройства подключаются к телевизору через HDMI и позволяют запускать приложения, смотреть потоковое видео и воспроизводить файлы. Линейка H96 включает множество моделей с разными процессорами, объёмом памяти и версиями Android.
Ботнет маскировал телеприставки под смартфоны Samsung, Xiaomi, Huawei и других марок. Подмена характеристик повышала ценность рекламных переходов и помогала обходить системы, которые отсеивают автоматический трафик.
Для накрутки Fuyao открывал сайты с автоматически созданными материалами, находил рекламу и имитировал поведение человека. Приложения использовали распознавание текста, данные интерфейса и модель компьютерного зрения, способную определять кнопки, баннеры и блоки Taboola.
Операторы собирали сценарии в собственной версии Blockly — визуального языка программирования для обучения детей. Готовые цепочки блоков превращались в JavaScript и отправлялись на устройства, поэтому запускать новые кампании могли даже сотрудники без глубоких технических знаний.
Устройства с Fuyao также работали как домашние прокси-серверы и пропускали чужой трафик через сеть владельца без согласия. По наблюдениям Bitsight, за семь дней с прокси-сервисами пересекалось примерно каждое четвёртое выявленное устройство.
Специалисты связали Fuyao с китайской компанией Zhejiang Fengwo IoT Technology, входящей в Fengwo Group. На связь указали общие сертификаты, внутренняя документация, платёжные компании в Гонконге и Сингапуре, а также патенты, совпавшие с принципами работы приложений и рекламной платформы.
Bitsight оценила возможную выручку сети из 120 тыс. устройств примерно в $150 тыс. в сутки, однако расчёт основан на предполагаемой цене кликов и показов. Доступная телеметрия охватывала меньшую сеть, а рекламные платформы могли отбрасывать часть накрученного трафика.
