Bitsight: Günstige TV-Streaming-Sticks dienen teils als Werbebetrugs-Bots

Ausgangspunkt der Untersuchung war laut Pedro Falé eine abgelaufene Domain, die früher Telemetriedaten von H96-Streaming-Sticks entgegennahm. Beim Blick auf den eingehenden Datenverkehr stellte er fest, dass sich die Geräte zwar an eine Hintertür für Android-TV-Boxen meldeten, dabei jedoch überwiegend als Telefone von Samsung, Vivo, Huawei oder Xiaomi ausgaben. Für Falé war das ein deutlicher Hinweis, dass mit den Geräten etwas nicht stimmte.

Bitsight zufolge meldeten alle untersuchten Geräte dieselben zwei installierten Apps. Diese Anwendungen stammen nach Angaben der Forscher von Zhejiang Fengwo IoT Technology Ltd, einem 2019 gegründeten Unternehmen in Festlandchina, das ein Werbeportfolio unter dem Namen Fengwo Group betreibt. Weitere Recherchen ergaben laut Bitsight, dass die Gruppe mehrere Patente angemeldet hat, die zu den inneren Abläufen dieser Apps passen. In einem heute veröffentlichten Bericht schreibt Bitsight TRACE zudem, man habe mehrere Briefkasten- beziehungsweise Ein-Personen-Strukturen in Hongkong und Singapur identifiziert, über die die Monetarisierung eingesammelt worden sei, und die Operation zu Zhejiang Fengwo IoT Technology Co., Ltd zurückverfolgt.

Nach der Analyse der Apps koordinieren diese ein Werbebetrugsnetzwerk, das H96-Geräte als fest gebundene Traffic-Quelle einsetzt. Die Geräte klicken demnach auf Anzeigen auf KI-generierten Websites, die von der Fengwo Group betrieben werden. Bitsight fand auf diesen Seiten maschinell erzeugte Nachrichtenartikel und Grafiken aus Bereichen wie Finanzen, Gesundheit, Bildung, Spiele, Musik und Food-Blogs. Werbung wurde dort nach den Beobachtungen der Forscher jedoch nur dann angezeigt, wenn das aufrufende Gerät dem gefälschten Mobilprofil der H96-Boxen entsprach.

Eine wichtige Spur lieferte laut Falé auch die Domain fwgcloud[.]com der Fengwo Group. Deren SSL-Zertifikatsdaten überschnitten sich mit weiteren Domains, die mit den auf H96-Geräten gefundenen Apps in Verbindung stehen, insbesondere mit dem Mechanismus zum Ausgeben als Telefon. Zudem verweist Bitsight auf eine interne Wiki-Plattform, die die Fengwo Group direkt mit einer proprietären Umsetzung von Blockly verbindet, einer von Google entwickelten visuellen Programmiersprache.

Laut Bitsight nutzen Beschäftigte der Fengwo Group Blockly, um die Schein-Websites zu erstellen. Der Bericht beschreibt, dass Bediener je nach Aufgabentyp Code-Blöcke in einem Editor zusammensetzen, die fertige Routine anschließend als JavaScript exportieren und in S3-Buckets hochladen. Einer der von Bitsight untersuchten App-Entwickler habe die Vorteile selbst benannt: Für die Vorlagen seien nur wenige hochqualifizierte Entwickler nötig, während für daraus erzeugte Ausführungseinheiten deutlich geringere technische Anforderungen ausreichten und so die Betriebskosten sinken würden.

Wird ein H96-Gerät für eine bestimmte Aufgabe ausgewählt, erhält es laut Falé das passende Blockly-Modul. Dieses kann still im Hintergrund einen Browser starten, Websites aufrufen, Seiten durchblättern, Tabs verwalten und auf Anzeigen klicken. Damit die als Mobiltelefone getarnten TV-Boxen die eingeblendeten Anzeigen auf den KI-generierten Websites zuverlässig finden, verschmelze die Fengwo Group laut Bitsight „drei Seh- und Denksysteme zu einer einzigen Oberfläche“, sodass die Bots Anzeigen erkennen und sich auf den Seiten ähnlich wie ein Mensch bewegen könnten.

Bitsight beobachtete außerdem, dass die H96-Geräte entweder Residential-Proxy-Verkehr weiterleiteten oder am Werbebetrug teilnahmen, aber nicht beides gleichzeitig. Wenn die Box ein HDMI-Signal von einem angeschlossenen Fernseher erkennt und der Nutzer offenbar Inhalte streamen will, fungiert sie den Forschern zufolge meist als Residential Proxy. Ist der Fernseher ausgeschaltet, wartet das Gerät wieder auf Aufgaben für den Werbebetrug. Falé vermutet, dass die Boxen so konfiguriert sind, weil der Werbebetrug deutlich mehr Ressourcen verbraucht und sonst die eigentliche Streaming-Funktion stören könnte.

Nach Angaben von Bitsight meldeten sich rund 38.000 TV-Boxen weltweit bei der abgelaufenen Fengwo-Domain. Auf Basis dieser Zahl schätzt der Bericht den Tagesumsatz des Werbebetrugsnetzwerks auf fast 50.000 US-Dollar, ohne die Einnahmen aus dem Residential-Proxy-Geschäft einzurechnen. Falé betonte allerdings, dass diese Schätzung sehr konservativ sei und nur auf Telemetriedaten einer einzigen, wenn auch zentralen älteren Domain der Fengwo Group beruhe.

Der Quelltext verweist zudem auf frühere Warnungen des FBI und der Sicherheitsbranche vor solchen Geräten. Neben Amazon, Best Buy und Newegg würden große Onlinehändler weiterhin hunderte Modelle und Marken verkaufen, die inoffizielle Android-Versionen bündeln. Google verweist darauf, dass Verbraucher prüfen können, ob ein Gerät mit dem offiziellen Android-TV-Betriebssystem und Play-Protect-Zertifizierung ausgeliefert wird. Der Proxy-Tracking-Dienst Synthient führt außerdem eine fortlaufende Liste von IoT-Geräten, die mit Residential-Proxy-Software oder anderen schädlichen Apps vorinstalliert ausgeliefert wurden; darunter laut FBI auch andere Konsumgeräte wie digitale Bilderrahmen.