在购买那款电视流媒体棒之前请阅读此内容

多年来，安全专家一直警告使用承诺一次性无限内容流媒体的通用电视盒存在风险，并警告它们会秘密将用户的网络连接租给陌生人。但一项开创性的新分析发现，这些设备还经常伪装成手机，点击AI生成的网站广告，作为一个庞大网络的一部分，旨在欺骗在线商家和广告网络。

佩德罗·法莱是安全公司的威胁研究员比特视觉.Falé告诉KrebsOnSecurity，他通过注册一个过期域名，能够渗透到一个庞大复杂的广告欺诈网络内部，该域名被用来协调一种特别流行的流媒体设备品牌上的虚假广告点击H96.

目前在亚马逊上出售的H96电视流媒体设备。

法莱表示，他抢占的域名此前用于遥测，定期收集全球数万台H96流媒体棒的完整硬件信息和全部安装应用列表。但在检查流入该域名的流量时，他发现几乎所有传输数据的电视机盒都声称是来自三星、vivo、华为和小米等多家厂商的手机型号。

“我们注意到情况非常异常，”法莱说。“多个报告到这个工厂Android TV Box后门的设备都是'手机'。”

图片来源：Bitsight。

研究人员发现所有设备都安装了相同的两个应用，且这些应用由一家名为浙江风和物联网技术有限公司，是一家成立于2019年的中国大陆实体，以以下名称运营广告出版业务凤窝集团.对凤窝集团的进一步调查显示，其注册了多项与这些应用内部运作相符的专利。

Falé 指出，“Bitsight TRACE 识别出多个用于收集变现的香港、新加坡及单人'合法'壳身份，并将行动追溯到一家名为浙江凤窝物联网科技有限公司的中国大陆公司，该公司隶属于风窝集团。”写道在今天发布的一份关于他们发现的报告中，

法莱表示，对这些应用的分析显示，它们有助于协调一个广告欺诈网络，该网络利用这些H96设备作为捕获流量源，点击由凤窝集团运营的AI生成网站的广告。

Bitsight发现这些网站包含机器生成的新闻文章和图形，涵盖财经、健康、教育、游戏、音乐和美食博客等多个类别。但他们还发现，除非访问该页面的设备与这些H96设备伪造的手机配置文件匹配，否则这些网站都不会显示广告。

人工智能数字人类

丰和集团的域名——fwgcloud[.]com——声称公司正在“重新定义人机交互的边界”，并已创建了超过12万名“人工智能数字人类”，可供租赁，涵盖从情感陪伴到全天候客户服务和创意设计等各种服务。

fwgcloud .com 的主页。

Falé表示，Fengwo集团的域名将其SSL证书数据分享给了H96设备上应用的其他域名，特别是手机伪装机制。他指出，该域名还拥有一个内部维基平台，直接将Fengwo集团与谷歌开发的一种名为“视觉编程语言”的专有实现联系起来布洛克利最初设计目的是帮助孩子们学习如何编写软件。

据Bitsight称，凤窝集团的员工使用Blockly来构建这些假网站，允许低技能操作者在Blockly编辑器中拖拽代码块——无需理解底层代码块的作用或工作原理。

Blockly主页。

Bitsight的报告写道：“操作员可以在Blockly编辑器中拖拽块，定义每个欺诈程序，给定任务类型。”“一旦例程保存，它会导出为JavaScript并上传到S3桶。操作员不需要那么多理解底层技术细节，因为一切都是为了易用而设置好的。”

Bitsight甚至发现一位凤窝集团应用开发者提到了正是这些优势，并指出“只需少数高技能开发者就能构建模板执行单元镜像”，并且“用这些模板创建执行单元的开发者技术需求显著降低，大大降低了公司的运营成本。”

Falé表示，如果用户的H96流媒体棒被选中用于特定的欺诈任务，它会根据所需任务推送相应的Blockly模块，这些任务可能包括静默启动网页浏览器、访问网站、浏览页面、管理标签页以及点击广告。

Bitsight报告指出，为了确保伪装成手机的电视机盒能够可靠点击AI生成网站显示的广告，凤窝团队“将三种视觉与推理系统融合为一个界面”，使机器人能够像人类一样正确识别网页上的广告并浏览网站。

与凤窝集团相关广告登陆页的示例。图片来源：Bitsight。

电视开着吗？代理。电视关了吗？广告欺诈

Bitsight发现H96设备要么转发住宅代理流量，要么参与广告欺诈，但从未同时两者。事实上，他们得出结论：当这些电视机盒检测到连接电视的HDMI信号——表明用户打算流媒体播放视频内容时——该机顶盒通常作为住宅代理。

电视关闭时，它会切换回等待广告欺诈任务。

法莱表示，他认为电视机箱之所以这样设置，是因为其广告欺诈活动资源消耗更大，可能会干扰设备宣称的目的——通过互联网流媒体传输视频内容。

尽管反复出现联邦调查局的警告以及安全行业领袖对使用这些流媒体设备安全与隐私风险的讨论，亚马逊、百思买、Newegg等主要电商继续销售数百种不同型号和品牌，这些型号和品牌捆绑了谷歌非官方的安卓操作系统版本，并且经常被市场推广（通过网络网红）作为一种无需订阅即可访问各种流媒体服务和直播的方式。

图片：fbi.gov.

除了让用户的电视机箱加入广告欺诈网络外，这些非品牌流媒体设备几乎都配备了住宅代理预装软件。该软件将用户的互联网地址出租给匿名付费用户，客户涵盖从激进内容抓取公司到黄牛，甚至网络犯罪分子。

更何况，这些通用（而且通常便宜）的电视盒默认都极其不安全，且没有任何认证，安装在家中或办公室网络上只会带来更多麻烦。今年一月，代理追踪服务合成剂记录了多个僵尸网络的经过迅速奴役了数百万台电视机箱利用住宅代理软件和流媒体设备本身中复杂的安全漏洞相互作用。

把钱给我看看

Bitsight表示，他们追踪到全球约38,000个电视机盒拨打已过期的凤窝集团域名，基于该数字，报告估计该广告欺诈网络每天带来接近5万美元的收入（不包括来自住宅代理业务的可观收入）。

然而，法莱强调这些估算非常保守，且仅基于凤窝集团一个核心（但较老）域名的遥测数据。

至于风和集团声称拥有12万“数字人类”，Bitsight的报告认为这可能只是一个巧妙的营销策略，或者是避免......