Onderzoekers waarschuwen voor Android tv-sticks die ook in Nederland worden verkocht en vooraf met malware zijn geïnfecteerd. De besmette tv-sticks en tv-boxes vormen bij elkaar een groot botnet gebruikt voor residential proxynetwerken en advertentiefraude, dat de beheerders zo'n 50.000 dollar per dag oplevert en mogelijk veel meer. Dat stellen onderzoekers van cybersecuritybedrijf BitSight.

Onder de besmette tv-sticks bevindt zich onder andere de H96Max. Via de stick kunnen gebruikers films en series streamen, mobiele apps draaien en het scherm van hun telefoon op een televisie weergeven. Onderzoeker Pedro Falé deed onderzoek naar 'factory backdoors' in Android tv-boxes, die vaak tijdens de ontwikkeling van het product voor remote management worden gebruikt, maar ook in de productieversies terechtkomen. Hij ontdekte zo een backdoor die op afstand volledige root-toegang tot de apparaten geeft en naar een specifiek domein luistert.

Het domein verliep en werd door de onderzoekers geregistreerd. Het domein werd niet alleen voor 'beheer' gebruikt, maar ontving ook telemetrie van de apparaten. In één dag maakten 38.000 unieke apparaten verbinding met het domein, wat 66.000 telemetrierapporten opleverde. Wat daarbij opviel was dat het om tv-sticks en tv-boxes ging, maar 27.000 van de apparaten zich als smartphone voordeden. Verder onderzoek wees uit dat apps van een bedrijf genaamd Fuyao hiervoor verantwoordelijk waren. Het bedrijf claimt over meer dan 120.000 'AI digital humans' te beschikken.

Volgens BitSight gaat het hier om besmette Android tv-sticks en tv-boxes die advertentiefraude plegen en systemen als residential proxy gebruiken. Bij advertentiefraude betalen adverteerders voor advertenties die nooit door mensen worden gezien. De Fuyao-apps op de Android-apparaten doen voorkomen alsof de advertenties op door mensen bezochte website zijn weergegeven, maar in werkelijkheid zijn de views en clicks afkomstig van bots. De advertentiefraude levert Fuyao zo'n 50.000 dollar per dag op, maar dat kan ook 150.000 dollar zijn, afhankelijk van hoe groot het botnet van Android tv-sticks en tv-boxes daadwerkelijk is.

Daarnaast worden de besmette apparaten ook als residential proxynetwerk ingezet. Een residential proxynetwerk laat het verkeer van betalende klanten via de systemen en internetverbindingen van legitieme thuisgebruikers lopen. Deze betalende klanten kunnen bijvoorbeeld cybercriminelen zijn. Eerder stelde het Nationaal Cyber Security Centrum (NCSC) dat residential proxies een gevaar voor de digitale veiligheid van Nederland zijn.

Door een residential proxy te gebruiken kan de aanvaller zijn eigen ip-adres verbergen. Een ander voordeel is dat er een ip-adres kan worden gekozen dat zich in dezelfde regio als dat van het doelwit bevindt. Wanneer de software op de besmette apparaten detecteert dat de HDMI-kabel wordt gebruikt is de proxysoftware actief. Staat de televisie uit, dan vindt er advertentiefraude plaats, aldus de onderzoekers. Google stelt dat gebruikers zelf kunnen controleren of ze een tv-stick of tv-box met een gecertificeerde versie van Android TV OS draaien.