Sicherheitsforscher bringen H96-Streaming-Boxen mit Anzeigenbetrug und Proxy-Netzwerken in Verbindung

Sicherheitsforscher warnen, dass einige kostengünstige TV-Streaming-Geräte weit mehr tun könnten, als Videos abzuspielen. Eine neue Analyse von Bitsight bringt eine weit verbreitete Klasse von H96-Boxen auf Android-Basis sowohl mit privaten Proxy-Diensten als auch mit einer Operation zum Anzeigenbetrug in Verbindung.

Pedro Falé, Threat Researcher bei Bitsight, untersuchte eine abgelaufene Domain, die von der Operation zuvor für Telemetriedaten der Geräte verwendet worden war. Der an die Domain gesendete Datenverkehr enthielt Berichten zufolge Hardwaredetails und Listen installierter Anwendungen von Zehntausenden Geräten. Obwohl die Hardware als TV-Boxen identifiziert wurde, gaben sich viele Geräte als Smartphones von Unternehmen wie Samsung, Vivo, Huawei und Xiaomi aus.

Die Forscher brachten die Aktivitäten mit zwei von Zhejiang Fengwo IoT Technology entwickelten Anwendungen in Verbindung, einem chinesischen Unternehmen, das unter dem Namen Fengwo Group tätig ist. Laut Bitsight können die Apps Anweisungen empfangen, um Browser zu öffnen, Webseiten aufzurufen, zwischen Tabs zu navigieren und mit Online-Werbung zu interagieren.

Die zugehörigen Websites enthalten Berichten zufolge maschinell erstellte Inhalte zu Themen wie Finanzen, Gesundheit, Bildung, Spielen, Musik und Essen. Laut Bitsight schalteten die Websites nur dann Werbung, wenn die Besucher den Profilen mobiler Geräte entsprachen, die von den H96-Boxen verwendet wurden. Die Operation soll automatisierte Systeme zur visuellen Analyse und Schlussfolgerung einsetzen, um Anzeigen zu finden und Browserverhalten zu imitieren, das menschlich wirkt.

Zwei Verwendungszwecke für dasselbe Gerät

Die Analyse von Bitsight legt nahe, dass die Boxen zwischen Anzeigenbetrug und Aktivitäten als privater Proxy wechseln. Wenn ein Gerät eine aktive HDMI-Verbindung erkennt, was darauf hindeutet, dass ein Fernseher verwendet wird, arbeitet es im Allgemeinen als Proxy. Wenn das Display ausgeschaltet ist, kann es für Werbeaufgaben verfügbar werden. Diese Trennung könnte dazu beitragen, dass Aktivitäten im Hintergrund die Streaming-Leistung nicht beeinträchtigen.

Die Forscher fanden außerdem Hinweise darauf, dass Fengwo Blockly, Googles visuelles Programmier-Framework, verwendet, um Betrugsroutinen zusammenzustellen und zu verteilen. Dieser Ansatz kann weniger spezialisierten Betreibern ermöglichen, Aufgabenmodule zu erstellen, ohne herkömmlichen Code schreiben zu müssen.

Bitsight schätzte, dass etwa 38.000 Geräte die abgelaufene Domain kontaktiert hatten. Die Erkenntnisse ergänzen langjährige Warnungen von Sicherheitsforschern und Strafverfolgungsbehörden vor kostengünstiger, inoffizieller Android-Streaming-Hardware. Solche Produkte können Proxy-Software, schwache Sicherheitskontrollen und nicht dokumentierte Dienste enthalten, die die Internetverbindung eines Haushalts Dritten zugänglich machen.

Verbraucher sollten seriöse Streaming-Plattformen bevorzugen, Netzwerkgeräte nach Möglichkeit voneinander isolieren, Standardzugangsdaten ändern und Hardware meiden, die mit uneingeschränktem Zugriff auf kostenpflichtige Inhalte beworben wird.