Cảnh báo rủi ro bảo mật từ TV streaming stick H96: giả mạo điện thoại để gian lận quảng cáo
"Security researchers found that H96 TV streaming sticks were phoning home to an expired telemetry domain used to coordinate a large ad-fraud operation. The devices spoofed themselves as mobile phones to click ads on AI-generated websites, while also serving as residential proxies; no CVE was reported, and the recommended mitigation is to avoid off-brand devices, use reputable Android TV/Play Protect-certified hardware, and limit risky app installs."
Tác động đáng kể đến bảo mật do giả mạo hồ sơ thiết bị để gian lận quảng cáo và có thể biến thiết bị thành residential proxy. Điểm then chốt: telemetry domain hết hạn bị dùng để điều phối, ứng dụng cài sẵn hỗ trợ hành vi gian lận, và cơ chế chuyển đổi theo trạng thái TV.
Rủi ro vận hành và tuân thủ gia tăng khi thiết bị có thể phát sinh lưu lượng bất thường, ảnh hưởng uy tín và chi phí điều tra. Điểm then chốt: lưu lượng proxy có thể gây hệ lụy pháp lý/điều tra, hành vi ad-fraud làm tăng nguy cơ bị gắn cờ bởi đối tác quảng cáo và nền tảng, và chi phí hỗ trợ/khắc phục khi triển khai thiết bị không chính hãng.
Các nhà nghiên cứu bảo mật phát hiện TV streaming stick H96 có hành vi gửi dữ liệu về một domain telemetry đã hết hạn (fwgcloud[.]com) nhằm phối hợp một chiến dịch ad-fraud quy mô lớn. Thiết bị không chỉ thu thập thông tin phần cứng và danh sách ứng dụng đã cài, mà còn giả mạo là điện thoại di động từ nhiều hãng khác nhau để tạo lượt bấm quảng cáo trên các trang web do hệ thống tạo nội dung.
Theo phân tích, ứng dụng trên thiết bị được phát triển bởi Zhejiang Fengwo IoT Technology Ltd (Fengwo Group). Các trang đích chứa tin tức và hình ảnh sinh bởi máy theo nhiều chủ đề như tài chính, sức khỏe, giáo dục, game, âm nhạc và ẩm thực. Tuy nhiên, quảng cáo chỉ xuất hiện khi hồ sơ truy cập khớp với cơ chế giả mạo của H96.
Nhà nghiên cứu cho biết khi TV bật và phát hiện tín hiệu HDMI, thiết bị thường chuyển sang vai trò residential proxy; khi TV tắt, thiết bị quay lại chờ nhiệm vụ gian lận quảng cáo. Ước tính có khoảng 38.000 thiết bị liên hệ tới domain nói trên, doanh thu ước tính gần 50.000 USD/ngày (chưa tính phần từ proxy).
Khuyến nghị: tránh thiết bị không chính hãng, ưu tiên phần cứng Android TV/Play Protect từ nhà sản xuất uy tín, hạn chế cài ứng dụng ngoài nguồn tin cậy và rà soát thiết bị IoT trong mạng nội bộ.