HONG KONG / LONDON (IT BOLTWISE) – Sicherheitsforscher warnen vor günstigen Android-TV-Boxen, die nicht nur als Abspielgerät dienen, sondern als betrügerische Proxy-Exit-Knoten arbeiten können. Laut einer Untersuchung sollen die Geräte per HDMI-Signal den Netzwerkverkehr anderer Nutzer über die Breitbandleitung des Besitzers umleiten, während sie bei ausgeschaltetem HDMI auf Ad-Fraud-Aufträge warten. Die Kampagnen nutzen KI-gestützte Bildauswertung, um Werbeanzeigen auf Webseiten zu platzieren, und erhalten über eine Befehl-und-Kontroll-Infrastruktur jeweils angepasste „Telefonprofile“. Für Betreiber bleibt der praktische Schwerpunkt vor allem bei Sicherheitsprüfungen wie Play-Protect-Zertifizierung und der sauberen Segmentierung des Heimnetzes.
Wer in den letzten Monaten „billige Android TV“-Geräte für ein Smart-TV-Setup gekauft hat, trifft möglicherweise auf mehr als nur eine schwach abgesicherte Streaming-Box. Laut einer technischen Analyse von Bitsight wurden einige günstige Android-TV-Boxen mit Apps ausgeliefert, die ihre Hardware-Identität so umschreiben, dass sie sich als beliebte Smartphone-Modelle ausgeben. Ziel ist nicht der klassische SIM- oder Geräte-Branding-Effekt, sondern das Erzeugen glaubwürdiger Client-Profile gegenüber Werbe- und Abfragesystemen. Damit rückt ein eigentlich passives Heimnetzgerät in die Rolle einer Komponente, die sich aktiv an Kampagnenlogik koppelt.
Technisch interessant ist vor allem das zweistufige Verhalten der Geräte. Sobald die Box ein HDMI-Signal erkennt, wechseln sie offenbar in den „Relaying“-Modus: Sie leiten dann den Verkehr anderer Nutzer über die Breitbandverbindung des Besitzers weiter und agieren als SOCKS5-Exit-Node. Fehlt das HDMI-Signal, kehren die Apps in einen Wartezustand zurück, der auf neue Ad-Fraud-Aufgaben zugeschnitten ist. Diese Kopplung an HDMI macht das Muster im Alltag plausibel, weil der Setup-Zustand am Fernseher typischerweise mit aktiver Nutzung korreliert und damit die Wahrscheinlichkeit steigt, dass das Gerät für betrügerische Abläufe „passend“ im Netzwerk steht.
Für die Identifizierung stützt sich die Untersuchung unter anderem auf eine sinkhole-gestützte Erfassung: Die Forscher registrierten eine abgelaufene Domain, die als „Factory Backdoor“ sowie als Telemetriesammelpunkt dienen soll. Nach Filtern auf Geräte, die die Fuyao-Apps tragen, meldete das Sinkhole innerhalb eines Tages 65.957 Ereignisse von etwa 38.000 eindeutigen MAC-Adressen. Allerdings betonen die Autoren, dass diese Zahlen nicht als abgeschlossene Geräteflotte gelesen werden dürfen, weil die Systeme offenbar gespoofte Bezeichner rotieren können. Im Ergebnis wirkt das für Besitzer wie ein Hinweis auf „verdächtige Aktivität im Netzwerk“, ohne dass daraus automatisch eine exakte Bestandsliste der betroffenen Geräte ableitbar wäre.
Der Betrugs-Workflow ist in der Untersuchung detailliert beschrieben: Eine Befehl-und-Kontroll-Infrastruktur (C2) liefert jeweils vollständige „Telefonprofile“, die aus einer Basis-Konfiguration und modellabhängigen Differenzen bestehen. Dabei sollen auch Chipsatz-Eigenschaften gelöscht werden, die sonst eine darunterliegende Plattform wie Rockchip, Amlogic oder Allwinner entlarven könnte. Für die Kampagnenautomatisierung ist außerdem KI-gestützte Bild- und Objektanalyse eingebunden: Im Script-Programm kommt ein YOLOv8s-basiertes Objekt-Erkennungsmodell namens „lourui_2“ zum Einsatz, trainiert auf 12 Bildelemente, darunter generische Bannerregionen und Taboola-spezifische Widgets. Ergänzend nutzt die App Android-Accessibility-Daten sowie Google ML Kit zur optischen Zeichenerkennung, um aus dem Bildschirmkontext ableiten zu können, wo Werbeflächen vorhanden sind und wann ein Klick- bzw. Ausspielvorgang gezielt ausgelöst werden soll.
Die Art der Software-Organisation zeigt zudem, wie stark die Betreiber den Aufwand für Werbekampagnen skalieren wollen. Laut Pedro Falé, Threat Researcher bei Bitsight, „fuses three vision and reasoning systems into a single interface.“ In der Praxis bedeutet das: Operateure gestalten die Kampagnenlogik in einem eigenen Editor, der auf Google Blockly basiert. Die erzeugten Betrugsroutinen werden als JavaScript exportiert, auf einen zentralen Speicher hochgeladen (S3) und anschließend an die Boxen zur Ausführung verteilt. In einem wiederhergestellten Entwicklerkommentar wird außerdem darauf hingewiesen, dass ein Template-System es einer kleinen Gruppe spezialisierter Ingenieure erlaubt, weniger erfahrenen Kampagnenbetreibern die Bedienung zu erleichtern – ein Ansatz, der die Kosten pro Kampagneneinheit senken kann.
Auch die Monetarisierung folgt einem klaren Muster. Die Untersuchung beschreibt eine Auszahlungskette über ein Publishing-Netzwerk und nennt 144 operator-eigene Domains, verteilt auf sieben „Beneficiary Clusters“. Mindestens 84 dieser Domains sollen beim Laden der Startseite einen Taboola-Tag nachladen. Die Forscher verbinden die Domains über ein öffentliches sellers.json und ordnen die Ausspiel-/Umsatzeinbindung damit bestimmten revenue-collecting Entitäten in Hongkong und Singapur zu. Ergänzend nennt die Analyse eine Modellrechnung von 1,25 US-Dollar pro Gerät und Tag; bei 38.000 aktiven Geräten entspräche das rechnerisch etwa 47.500 US-Dollar pro Tag. Gleichzeitig bleibt es bei Schätzwerten: Unterschiede zwischen „gemeldeten Ereignissen“, „aktiven Geräten“ und dem tatsächlichen physischen Gerätebestand können nicht direkt 1:1 ineinander umgerechnet werden.
Wie belastbar die Zuordnung zu Zhejiang Fengwo ist, wird in der Analyse ebenfalls eingegrenzt. Bitsight nennt als Belege geteilte TLS-Zertifikatsdaten, verfügbare Wiki-Dateien, wiederverwendete E-Mail-Adressen sowie Patente. Unabhängige chinesische Patentakten sollen Fengwo als Inhaber verwandter Technologien zur „digital-human execution“ und zum Monitoring identifizieren, etwa mit einer Publikation zu Tracking für Ausführungsflüsse sowie einer weiteren zu Remote-Screening über Cloud-Thumbnails und Keyframe-Vergleichen. Diese Dokumente sollen jedoch laut der Untersuchung keine Werbung erklären und belegen nicht automatisch, dass genau dieses Unternehmen Fuyao betrieben oder aktiv Ad-Fraud ausgeführt hat. Für Besitzer bleibt die praktische Empfehlung daher bewusst allgemein: Play-Protec-Status prüfen, verdächtige Geräte vom Netz trennen und bei der Heimnetz-Konfiguration stärker auf Segmentierung achten. Dazu passt auch der Hinweis der FBI-Ratschläge aus Juni 2025, wonach Nutzer angeschlossene Geräte bewerten, verdächtige Systeme trennen, Firmware aktuell halten und generische Streaming-Boxen, die mit „kostenfreiem Content“ werben, skeptisch betrachten sollen.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Manipulierte Android-TV-Boxen mit Proxy- und Ad-Fraud-Funktionen" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Manipulierte Android-TV-Boxen mit Proxy- und Ad-Fraud-Funktionen" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Manipulierte Android-TV-Boxen mit Proxy- und Ad-Fraud-Funktionen« bei Google Deutschland suchen, bei Bing oder Google News!