TV box Android rẻ tiền giả mạo điện thoại và dùng băng thông chủ làm proxy SOCKS5
"Bitsight reported that cheap Android TV boxes in the Fuyao operation spoofed phone identities, clicked ads, and in some cases relayed third-party traffic through owners’ broadband as SOCKS5 proxy exit nodes. The campaign used a C2 system to push per-model phone profiles and automation tooling for ad fraud, but the article does not identify a CVE or a software patch; mitigation advice is to verify Play Protect certification, keep firmware updated, and disconnect suspicious devices."
Chiến dịch có thể biến thiết bị IoT thành proxy SOCKS5 và gây lạm dụng băng thông của nạn nhân; đồng thời thực hiện ad fraud thông qua nhấp quảng cáo tự động. Các điểm then chốt gồm: giả mạo nhận dạng phần cứng, chuyển tiếp lưu lượng khi có HDMI, và điều khiển qua C2.
Nguy cơ vận hành chủ yếu đến từ việc thiết bị bị xâm nhập/được cài sẵn có thể làm tăng rủi ro tuân thủ và gây gián đoạn mạng do lưu lượng proxy bất thường. Tác động kinh doanh có thể đáng kể nếu số lượng thiết bị trong doanh nghiệp lớn hoặc mạng nội bộ bị lộ ra ngoài, với các điểm then chốt là mất kiểm soát thiết bị, tăng rủi ro gian lận quảng cáo/điều tra, và chi phí xử lý sự cố.
Theo báo cáo của Bitsight, một chiến dịch liên quan đến các Android TV box giá rẻ (được đặt tên là Fuyao) có thể giả mạo danh tính phần cứng như các mẫu điện thoại Samsung, Huawei, Xiaomi hoặc Vivo. Sau khi thay đổi nhận dạng, thiết bị được cho là thực hiện nhấp quảng cáo trên các website do cùng nhóm vận hành.
Điểm đáng chú ý là ứng dụng trên thiết bị còn có chức năng thứ hai: khi phát hiện tín hiệu HDMI, thiết bị chuyển sang vai trò SOCKS5 exit node, chuyển tiếp lưu lượng của bên thứ ba thông qua đường truyền băng thông của chủ sở hữu. Khi HDMI tắt, thiết bị quay lại trạng thái chờ nhiệm vụ gian lận quảng cáo.
Bitsight phát hiện chiến dịch qua một domain hết hạn dùng như “factory backdoor” và kênh thu thập telemetry; dữ liệu sinkhole ghi nhận 65.957 báo cáo từ khoảng 38.000 MAC trong một ngày, nhưng số lượng thiết bị thực tế có thể bị sai lệch do xoay vòng định danh giả mạo.
Về kỹ thuật điều khiển, hệ thống C2 đẩy “phone profiles” theo từng model, đồng thời dùng quy trình tự động hóa có machine vision (YOLOv8s) để nhận diện vị trí quảng cáo. Khuyến nghị cho người dùng/doanh nghiệp: kiểm tra chứng nhận Play Protect, cập nhật firmware, và ngắt kết nối các thiết bị nghi ngờ khỏi mạng.