Attenti a queste TV Box: a TV spento si trasformano in bot sforna clic

Un'analisi condotta dal ricercatore di sicurezza Pedro Falé per conto della società Bitsight ha portato alla luce una complessa infrastruttura di frode pubblicitaria integrata all'interno di lettori multimediali e TV box di fascia bassa. I dispositivi esaminati, in particolare quelli commercializzati sotto il marchio H96, sfruttano la connessione internet domestica come proxy residenziale, e simulano costantemente il comportamento di smartphone registrati a nome di produttori come Samsung, Vivo, Huawei e Xiaomi per generare falsi clic su annunci pubblicitari.

Falé è riuscito a inserirsi nel traffico della rete registrando un dominio scaduto, precedentemente impiegato per raccogliere la telemetria di decine di migliaia di chiavette TV. Analizzando i dati inviati da circa 38.000 apparati distribuiti a livello globale, il ricercatore ha riscontrato come tutti i TV box segnalassero al server centrale la presenza di due sole applicazioni specifiche. Tali software sono stati sviluppati dalla Zhejiang Fengwo IoT Technology, un'azienda nata in Cina continentale nel 2019 che gestisce un network editoriale sotto la denominazione di Fengwo Group.

Il meccanismo architettato dal gruppo poggia sulla creazione di siti web riempiti di articoli e immagini generati tramite intelligenza artificiale su temi che spaziano dalla finanza alla salute. Le pagine non mostrano alcun banner pubblicitario a meno che il visitatore non presenti l'impronta digitale simulata di uno smartphone. Per istruire i dispositivi sulle routine di truffa, gli operatori utilizzano una versione personalizzata di Blockly, un linguaggio di programmazione visiva sviluppato da Google. Questa interfaccia a blocchi consente anche a personale non specializzato di assemblare i flussi di navigazione, traducendoli in script JavaScript inviati direttamente alle chiavette.

Doppia attività e profitti giornalieri per le truffa via TV Box

Le analisi di Bitsight mostrano che i dispositivi H96 operano in modalità alternata: quando rilevano un segnale HDMI attivo, segno che l'utente sta guardando un contenuto in streaming, funzionano esclusivamente come proxy residenziali a disposizione di terzi. Nel momento in cui il televisore viene spento, il sistema sfrutta il massimo della potenza hardware per avviare i browser nascosti, scorrere le pagine ed effettuare clic sugli annunci pubblicitari, evitando così che il proprietario noti rallentamenti durante l'uso ordinario.

L'infrastruttura di frode genererebbe incassi stimati in circa 50.000 dollari al giorno, una cifra considerata prudenziale poiché calcolata sul traffico indirizzato a un singolo dominio di telemetria. Parallelamente, il gruppo cinese si promuove online come fornitore di oltre 120.000 "umani digitali" basati su intelligenza artificiale, una copertura di facciata utilizzata spesso in questo genere di operazioni per nascondere la vera natura della botnet.

L'assenza di controlli di sicurezza e l'impiego di versioni non ufficiali di Android rendono questi lettori multimediali estremamente vulnerabili agli attacchi informatici. Molti dei modelli generici venduti sulle principali piattaforme di e-commerce integrano nativamente strumenti dannosi, esponendo l'intera rete locale a rischi di intrusione. Gli esperti raccomandano di verificare la presenza della certificazione ufficiale Android TV OS e Play Protect prima dell'acquisto o di disconnettere i dispositivi non certificati dalla presa elettrica quando non vengono utilizzati.