安全专家多年来一直发出警告，关于使用那些承诺一次性费用无限内容流媒体的通用电视盒的风险，警告称它们秘密地将用户的互联网连接出租给陌生人。但一项突破性的分析发现，这些设备还经常伪装成移动电话，在AI生成的网站上点击广告，作为一个庞大工程的一部分，试图欺骗在线商家和广告网络。Pedro Falé是安全公司Bitsight的威胁研究员。Falé告诉KrebsOnSecurity，他通过注册一个过期域名得以深入观察一个庞大而复杂的广告欺诈网络，该域名曾用于协调一系列假广告点击，涉及一种被称为H96的特别流行的流媒体设备。H96电视流媒体设备目前在亚马逊上有售。Falé表示，他抢注的域名以前用于遥测，定期从世界各地的数万台H96流媒体棒收集完整的硬件信息和已安装应用程序的完整列表。但在检查被引导到该域名的流量时，他发现几乎所有的电视盒都声称是来自不同制造商的手机型号，包括三星、Vivo、华为和小米。“我们注意到情况极其不正常，”Falé说。“向这个工厂Android TV盒后门报告的多个设备都是‘手机’。” 图片：Bitsight。研究人员发现，所有设备报告安装了相同的两个应用程序，这些应用程序由一家名为浙江丰沃物联网科技有限公司的公司制作，该公司成立于2019年，位于中国大陆，在丰沃集团名下运营广告发布组合。对丰沃集团的进一步调查发现，它注册了多个与这些应用程序内部工作原理相匹配的专利。“Bitsight TRACE识别出了多个香港、新加坡和单人‘法律’空壳身份，作为收集货币化的方式，并追踪到一家位于中国大陆的公司，名为浙江丰沃物联网科技有限公司，该公司在丰沃集团下运营，”Falé在关于其发现的报告中写道。Falé表示，应用程序分析显示，它们帮助协调一个广告欺诈网络，利用这些H96设备作为捕获流量源，点击丰沃集团运营的AI生成网站上的广告。Bitsight发现，这些网站包含各类机器生成的新闻文章和图形，包括金融、健康、教育、游戏、音乐和食品博客。但他们还发现，除非访问页面的设备与这些H96设备伪装的移动配置文件匹配，否则这些网站不会显示广告。AI数字人 丰沃集团的域名——fwgcloud[.]com——声称该公司“重新定义了人类与AI互动的界限”，并且已经创建了超过120,000个“AI数字人”，可以出租用于从情感陪伴到24/7客户服务和创意设计的一切。fwgcloud.com的主页。Falé表示，丰沃集团的域名与与在H96设备上发现的应用相关的其他域名共享其SSL证书数据，特定于手机伪装机制。他指出，该域名还拥有一个内部维基平台，直接将丰沃集团与一种谷歌构建的视觉编程语言——Blockly的专有实现联系起来，这种语言最初旨在帮助儿童学习如何编写软件。根据Bitsight的说法，丰沃集团的员工使用Blockly构建这些虚假的网站，使得技术水平较低的操作员可以在Blockly编辑器中将代码块拖放在一起——而无需理解基础代码块的功能或工作原理。Blockly主页。Bitsight的报告中写道：“操作员可以在他们的Blockly编辑器中将代码块拖放在一起，以定义每个欺诈例程，根据任务类型。” “一旦例程保存，就会导出为JavaScript并上传到S3存储桶。操作员对底层技术细节的理解不需要太多，因为这都已设定好以便于使用。”Bitsight甚至发现丰沃集团的一位应用程序开发人员明确提到了这些优势，表示开发人员提到“只需要少量高技术的开发人员来构建模板执行单元的镜像”，并且“从这些模板中创建执行单元的开发人员具有显著较低的技术要求，极大地降低了公司的运营成本。”Falé表示，如果用户的H96流媒体棒被选中用于特定的欺诈任务，它将根据所需任务推送相应的Blockly模块，这可能包括静默启动网络浏览器、访问网站、浏览页面、管理选项卡和点击广告。为了确保伪装成移动电话的电视盒可以可靠地点击广告……