Bitsight descubrió que algunas cajas de Android TV económicas contienen aplicaciones maliciosas que imitan teléfonos móviles para cometer fraude publicitario. La operación, atribuida a la empresa china Fengwo, también utiliza estos dispositivos como nodos de tráfico para redirigir conexiones de terceros. Se recomienda a los usuarios verificar la certificación de Play Protect y desconectar cualquier dispositivo sospechoso de su red.





Bitsight afirma que algunas cajas de Android TV baratas se han enviado con aplicaciones que reescriben su identidad de hardware para imitar teléfonos Samsung, Huawei, Xiaomi o Vivo, y luego hacen clic en anuncios en sitios web gestionados por los mismos operadores.

Los investigadores llamaron a la operación Fuyao y la atribuyeron a Zhejiang Fengwo IoT Technology Co., Ltd., una empresa de China continental fundada en 2019.

Estas mismas aplicaciones tienen una segunda función. Cuando una caja detecta una señal HDMI, normalmente pasa a retransmitir el tráfico de otras personas a través de tu línea de banda ancha como un nodo de salida SOCKS5. Con el HDMI desactivado, vuelve a esperar tareas de fraude publicitario.

Bitsight descubrió la operación registrando un dominio caducado utilizado como puerta trasera de fábrica y recolector de telemetría. La mayoría de los dispositivos identificables reportaron el nombre de modelo H96_MAX_V11, aunque Bitsight señaló que su visión del "sinkhole" estaba sesgada hacia modelos más antiguos de una sola marca y no estableció una lista completa de modelos afectados.

En un día, tras filtrar los dispositivos que portaban las aplicaciones Fuyao, el sinkhole recibió 65.957 informes de unas 38.000 direcciones MAC únicas. La mayoría de los informes describían los dispositivos como teléfonos. Esta no es una cuenta confirmada de dispositivos porque el sistema puede rotar identificadores falsificados. El informe muestra por separado que Fengwo anuncia más de 120.000 "humanos digitales de IA", pero no establece qué cuenta ese término de marketing. Estas cifras no son intercambiables y ninguna establece el tamaño de la flota física. Para ti, como propietario, la guía sigue siendo genérica: verifica la certificación de Play Protect y desconecta los dispositivos sospechosos de tu red.

El servidor de comando y control (C2) envía perfiles de teléfono completos a cada dispositivo, fusionando una configuración base con una diferencia por modelo y eliminando las propiedades del chipset que expondrían una placa Rockchip, Amlogic o Allwinner subyacente.

Fuyao utiliza visión artificial dentro de su flujo de trabajo de automatización para localizar anuncios. La aplicación Script lleva un modelo de detección de objetos YOLOv8s llamado lourui_2, entrenado en 12 elementos de pantalla, incluyendo regiones de banners genéricos y widgets de Taboola. La aplicación combina el modelo con datos de accesibilidad de Android y el reconocimiento óptico de caracteres de Google ML Kit. Pedro Falé, investigador de amenazas de Bitsight, escribió en su blog que la operación "fusiona tres sistemas de visión y razonamiento en una sola interfaz".

Los operadores ensamblan la lógica de la campaña en un editor personalizado basado en Blockly, el marco de programación de arrastrar y soltar de Google. Exportan cada rutina de fraude como JavaScript, la suben a S3 y la envían a la caja para su ejecución.

En cuatro dispositivos de prueba, Bitsight capturó unas 40 tareas de fraude, 21 campañas únicas y 166 módulos únicos. Un comentario de desarrollador recuperado decía que el sistema de plantillas permitía que un pequeño grupo de ingenieros cualificados apoyara a operadores de campañas menos cualificados, reduciendo costes. La cadena de pagos de Fuyao se ejecuta a través de una red de publicación. Bitsight mapeó 144 dominios propiedad del operador en siete clústeres de beneficiarios. Al menos 84 de ellos cargaban una etiqueta de Taboola en la página de inicio. Los investigadores dijeron que utilizaron el archivo público sellers.json de Taboola para conectar los dominios con entidades recolectoras de ingresos en Hong Kong y Singapur. Bitsight modeló los ingresos brutos en 1,25 dólares por dispositivo al día, o unos 47.500 dólares diarios si 38.000 dispositivos estuvieran activos.

Por separado, estimó que los ingresos anuales podrían alcanzar los 40 millones de dólares según el tamaño de la flota anunciada, citando un 30-40% de detección de fraude y una tasa de relleno de anuncios del 70%, pero no mostró el cálculo completo. Estas son estimaciones, no ingresos observados.

La atribución a Fengwo recae en Bitsight, que citó datos compartidos de certificados TLS, archivos wiki expuestos, direcciones de correo electrónico reutilizadas, enlaces de ingresos y patentes. Registros públicos de patentes chinas identifican de forma independiente a Zhejiang Fengwo como el cesionario de tecnologías relacionadas de ejecución y monitoreo de humanos digitales. La patente CN117421142B, concedida en noviembre de 2024, cubre el seguimiento del flujo de ejecución para módulos de comportamiento de humanos digitales, mientras que la CN117478834A describe el monitoreo de pantallas remotas a través de miniaturas alojadas en la nube y comparación de fotogramas clave. Ninguna de las dos presentaciones describe publicidad, y los registros no establecen que la empresa operara Fuyao o participara en el fraude publicitario.

Las fuentes consultadas tampoco establecen quién instaló las aplicaciones ni en qué punto de la cadena de suministro de los dispositivos aparecieron.

Hasta las 7:48 p.m. IST del 31 de julio de 2026, el índice del blog de Bitsight en su web todavía enumeraba solo la descripción general de Fuyao del 30 de julio. El material revisado aún carecía de una lista completa de paquetes afectados, versiones de firmware e indicadores de red. Por lo tanto, la guía de identificación específica de Fuyao sigue estando incompleta.

Google explica cómo comprobar si un dispositivo tiene la certificación Play Protect aquí. El FBI advirtió en junio de 2025 en este comunicado que los propietarios evalúen los dispositivos conectados, desconecten los sospechosos, mantengan el firmware actualizado y traten como sospechosos las cajas de streaming genéricas vendidas con promesas de contenido gratuito.

Fuente:
THN