Android tv-sticks komen besmet uit de fabriek en plegen advertentiefraude

Goedkope Android tv-sticks komen vooraf besmet uit de fabriek en draaien advertentiefraude plus een residentieel proxynetwerk, meldt securitybedrijf Bitsight, dat in de fabrieksfirmware een backdoor met volledige root-toegang op afstand vond.

Het gaat niet om obscure hardware. Onder de getroffen modellen zit de H96 Max, een tv-stick die ook in Nederland gewoon te koop is en bij webwinkels als bol.com voor een paar tientjes in het assortiment staat. Wie zo'n kastje aan de televisie in de kantine, de wachtkamer of de showroom hangt, zet een onbeheerd Android-apparaat met een root-backdoor op het bedrijfsnetwerk. Vanaf dat moment loopt er verkeer van vreemden via het IP-adres van je bedrijf: hetzelfde adres waarop je klanten, je bank en je leveranciers je herkennen.

Een verlopen domein legde het botnet bloot

Onderzoeker Pedro Falé van Bitsights TRACE-team zocht naar factory backdoors in Android tv-boxen. Dat zijn beheerkanalen die tijdens de ontwikkeling handig zijn en daarna in de productieversie blijven zitten. Hij vond er een die naar één specifiek domein luistert en de eigenaar van dat domein een shell met volledige rootrechten geeft.

Dat domein was verlopen. De onderzoekers registreerden het zelf en zagen in één etmaal 65.957 rapporten binnenkomen van ongeveer 38.000 unieke MAC-adressen. Van die apparaten meldden 27.000 zich als smartphone, met modelnamen van Xiaomi, Huawei, Vivo en Samsung, terwijl het in werkelijkheid tv-sticks en tv-boxen waren. De partij achter de apps, Fuyao, adverteert op zijn eigen platform met meer dan 120.000 "AI digital humans".

Proxy als de tv aanstaat, fraude als hij uitstaat

Het besmette apparaat heeft twee verdienmodellen en schakelt daartussen op basis van één controle: zit er een HDMI-kabel in een aanstaande televisie? Zo ja, dan draait het als SOCKS5-exit-node voor het proxynetwerk. Staat de tv uit, dan begint de advertentiefraude, zodat niemand in de kamer ziet wat er op het scherm gebeurt.

Die fraude is technisch serieuzer dan het botte klikwerk waar advertentiefraude meestal op neerkomt. Een app opent advertentiepagina's in een meegeleverde headless browser en gebruikt vervolgens drie detectielagen om de advertentie te vinden en aan te klikken: de Android-toegankelijkheidsdiensten, een YOLO-objectdetectiemodel en Googles MLKit voor tekstherkenning. Een tweede app kan het scherm via WebRTC live terugstreamen naar de operator.

Het gereedschap waarmee de fraudecampagnes worden gebouwd is Blockly, de visuele programmeertaal waarmee Google kinderen leert coderen. Blokjes aan elkaar slepen, campagne klaar. Bitsight legde 166 unieke Blockly-modules vast en vond in de code de aantekening van een ontwikkelaar dat deze aanpak de bedrijfskosten flink verlaagt.

Hoe actief de proxykant is, blijkt uit de overlap met commerciële proxydata: één op de zes boxen per dag en één op de vier per week duikt daarin op. Wat het geheel oplevert hangt af van de echte omvang van het netwerk. Security.nl komt op zo'n 50.000 dollar per dag; Bitsight rekent bij één dollar per apparaat per dag op 150.000 dollar per dag, ofwel richting 40 miljoen dollar per jaar.

Fraude met patenten erop

Bitsight koppelt de operatie aan Zhejiang Fengwo IoT Technology, opgericht in 2019 en onderdeel van Zhejiang Fengwo Holding Group, met lege vennootschappen in Hongkong en Singapore voor het geldverkeer. Het hardste bewijs zit in het octrooiregister: het bedrijf heeft twintig octrooien en aanvragen bij het Chinese CNIPA, waarvan zes tot acht één op één passen op de subsystemen die de onderzoekers in het botnet terugvonden. Dit is geen bijverdienste van een handvol criminelen, maar een bedrijf dat fraude als product bouwt en dat product laat beschermen.

Waarom dit bij de inkoop begint

Het NCSC noemde residential proxies eerder al een gevaar voor de digitale veiligheid van Nederland, juist omdat het verkeer van echte, vertrouwde consumenten-IP-adressen komt en misbruik daardoor veel moeilijker te detecteren of te blokkeren is. Dat werkt twee kanten op. Aanvallen op je eigen systemen komen vanaf gewone thuisadressen, dus filteren op land of datacenter helpt niet meer. En zodra je eigen adres exit-node wordt, kan het op zwarte lijsten belanden, met haperende mail en geweigerde betalingen als gevolg.

Het patroon zelf is niet nieuw. Begin juli haalden Google en de FBI het proxynetwerk NetNut neer, waarop Google in één week 316 dreigingsclusters zag inbellen via meer dan twee miljoen gekaapte huiskamerapparaten. Het verschil zit in het moment van besmetting. Daar raakte een apparaat ná verkoop geïnfecteerd via getrojaniseerde apps; hier zit de malware er al in wanneer je de doos openmaakt.

Daarmee schuift het controlepunt naar voren. Tegen firmware die besmet de fabriek verlaat helpt geen updatebeleid en geen scanner op je laptops. De enige momenten waarop je er nog iets over te zeggen hebt zijn de inkoop en de netwerkindeling. Google wijst gebruikers erop dat ze zelf kunnen controleren of hun tv-stick een gecertificeerde versie van Android TV OS draait, wat in de praktijk neerkomt op: de naamloze doos van dertig euro is jouw risico. Dat kastje is dan geen bezuiniging, maar een onbekende gast op je netwerk die door iemand anders betaald wordt.