Bitsight zufolge meldeten die meisten identifizierbaren Geräte den Modellnamen H96_MAX_V11. Zugleich schränkten die Forscher ein, dass ihre Sinkhole-Perspektive zu älteren Modellen einer Marke verzerrt gewesen sei und keine vollständige Liste betroffener Modelle erlaube. An einem einzelnen Tag erhielt das Sinkhole nach Filterung auf Geräte mit den Fuyao-Apps 65.957 Meldungen von rund 38.000 eindeutigen MAC-Adressen. Die meisten Berichte beschrieben die Geräte als Telefone. Eine bestätigte Gerätezahl sei das aber nicht, weil das System gefälschte Kennungen rotieren lassen könne.

Die Steuerungsinfrastruktur liefert laut Bericht vollständige Telefonprofile an jedes Gerät. Der C2-Server kombiniere dafür eine Basiskonfiguration mit modellabhängigen Abweichungen und entferne Chipsatz-Eigenschaften, die ein darunterliegendes Board von Rockchip, Amlogic oder Allwinner verraten würden. So werde die eigentliche Hardware verschleiert.

Für die Automatisierung des Werbebetrugs setzt Fuyao laut Bitsight auf maschinelles Sehen. Die App „Script“ enthalte ein YOLOv8s-Modell zur Objekterkennung mit dem Namen „lourui_2“, trainiert auf 12 Bildschirmelemente, darunter allgemeine Bannerbereiche und Taboola-Widgets. Hinzu kommen Android-Bedienungshilfedaten und die optische Zeichenerkennung von Google ML Kit. Pedro Falé, Bedrohungsforscher bei Bitsight, schrieb, die Operation „verschmilzt drei Seh- und Denksysteme in einer einzigen Oberfläche“.

Die Betreiber bauen ihre Kampagnenlogik nach Darstellung der Forscher in einem eigenen Editor auf Basis von Blockly, dem Drag-and-Drop-Programmiergerüst von Google. Jede Betrugsroutine werde als JavaScript exportiert, auf S3 hochgeladen und anschließend zur Ausführung an die Box gesendet. Auf vier Testgeräten erfasste Bitsight etwa 40 Betrugsaufgaben, 21 unterschiedliche Kampagnen und 166 verschiedene Module. Ein wiederhergestellter Entwicklerkommentar besagte, dass das Vorlagensystem einer kleinen Gruppe qualifizierter Ingenieure ermögliche, weniger qualifizierte Kampagnenbetreiber zu unterstützen und so Kosten zu senken.

Die Erlöskette führt dem Bericht zufolge über ein Publishing-Netzwerk. Bitsight ordnete 144 von den Betreibern kontrollierte Domains sieben Begünstigten-Clustern zu. Mindestens 84 davon luden auf der Startseite ein Taboola-Tag. Die Forscher erklärten, sie hätten über Taboolas öffentliche Datei sellers.json Verbindungen zu Einnahmen sammelnden Einheiten in Hongkong und Singapur hergestellt. Bitsight modellierte Bruttoerträge von 1,25 US-Dollar pro Gerät und Tag oder etwa 47.500 US-Dollar täglich, falls 38.000 Geräte aktiv gewesen seien. Separat schätzte das Unternehmen einen Jahresumsatz von bis zu 40 Millionen US-Dollar bei der beworbenen Flottengröße, gestützt auf 30 bis 40 Prozent Betrugsmarkierungen und eine Anzeigenfüllrate von 70 Prozent. Beobachtete Einnahmen seien das ausdrücklich nicht.

Die Zuordnung zu Zhejiang Fengwo stützt sich laut Bitsight auf gemeinsame TLS-Zertifikatsdaten, offengelegte Wiki-Dateien, wiederverwendete E-Mail-Adressen, Erlösverbindungen und Patente. Öffentliche chinesische Patentunterlagen nennen Zhejiang Fengwo unabhängig als Rechtsinhaber verwandter Technologien zur Ausführung und Überwachung digitaler Menschen. CN117421142B, erteilt im November 2024, behandelt die Verfolgung von Ausführungsabläufen für Verhaltensmodule digitaler Menschen. CN117478834A beschreibt die Überwachung entfernter Bildschirme über in der Cloud gehostete Vorschaubilder und den Vergleich von Schlüsselbildern. Keines der beiden Schutzrechte beschreibt Werbung, und aus den Unterlagen geht nicht hervor, dass das Unternehmen Fuyao betrieben oder Werbebetrug begangen hat.

Offen bleibt außerdem, wer die Apps installiert hat und an welcher Stelle der Lieferkette sie auf die Geräte gelangten. Bitsight hatte laut dem geprüften Material zudem noch keine vollständige Liste betroffener Pakete, Firmware-Builds und Netzwerkindikatoren veröffentlicht; die Identifizierungshilfen speziell für Fuyao bleiben daher unvollständig. Google erklärt, wie sich prüfen lässt, ob ein Gerät Play-Protect-zertifiziert ist. Das FBI riet im Juni 2025 Besitzern, verbundene Geräte zu überprüfen, verdächtige Geräte vom Netz zu trennen, die Firmware aktuell zu halten und generische Streaming-Boxen, die mit kostenfreien Inhalten beworben werden, als verdächtig zu behandeln.