安価なAndroid TVボックスに潜む脅威：スマホ偽装による広告不正と回線のプロキシ化が判明

要点

• 安価なAndroid TVボックスの一部で、スマートフォンの識別情報に偽装して広告不正を行うアプリがプリインストールされていることが判明した。

• HDMI信号を検知すると、所有者のネットワーク回線を無断で他人のトラフィック中継プロキシとして利用する仕組みを備える。

• セキュリティ企業Bitsightはこれを「Fuyao」と命名し、中国のIoT企業「Zhejiang Fengwo IoT Technology」による活動と特定した。

• 不正アプリにはAIによる画像認識技術や、ノーコード型のプログラミングフレームワークを用いた自動化ツールが組み込まれている。

• Googleは、これらのデバイスが「Play Protect」によるセキュリティ認定を受けていない製品であることを認めている。

• セキュリティ企業のBitsightは、安価なAndroid TVボックスの一部に、ハードウェアの識別情報をスマートフォンに書き換えて大規模な広告不正を行い、所有者の回線を無断でプロキシ化するアプリがプリインストールされて出荷されていることを公表した。同社はこの不正キャンペーンを「Fuyao（扶揺）」と命名し、中国・浙江省のIoT企業「Zhejiang Fengwo IoT Technology（以下、Fengwo）」による活動であると特定した。

スマートフォンへの偽装とプロキシ化

Bitsightの調査によると、影響を受けるTVボックス（主に「H96_MAX_V11」と呼ばれるモデル）には、識別情報をSamsungやHuaweiなどの有名スマートフォンに偽装するアプリがプリインストールされている。これにより、ネットワーク上ではスマホとして振る舞い、運営者が管理するウェブサイトの広告をクリックする広告不正（アドフラウド。広告効果を偽装する不正行為）を実行する。

さらに、このアプリはHDMI接続の有無によって動作を切り替える。TVボックスがHDMI信号を検知している間は、所有者の回線をSOCKS5（ネットワーク接続を中継するプロトコル）の出口ノードとして機能させ、外部のトラフィックを無断で中継する。HDMI信号が切断されると、再び広告不正の実行を待機する状態に戻る仕組みだ。

AIを用いた高度な自動化システム

この「Fuyao」システムは高度に自動化されている。コマンド＆コントロール（C2）サーバーから各デバイスに対しスマホプロファイルを送り、RockchipなどのTVボックス用チップセット情報を消去してスマホ情報と結合することで、元の基盤ボードの正体を隠蔽する。

広告の検出にはAIによる画像認識技術が活用されている。アプリ内には、バナー広告エリアなど12種類の画面要素を認識する物体検出モデル「YOLOv8s（画像内の特定物体を高速で検出するAIモデル）」を用いた「lourui_2」が搭載されている。このモデルを、Androidのアクセシビリティ（ユーザー補助）機能のデータやGoogleのML KitによるOCR（光学文字認識）技術と組み合わせ、画面上の広告位置を自動で正確に特定する。

また、広告クリックの手順構築には、Googleの「Blockly（視覚的にコードを作成するフレームワーク）」をベースにした独自のカスタムエディタが使われている。ドラッグ＆ドロップで手順を組み立て、それをJavaScriptコードとして書き出してデバイスに送信・実行させている。テストデバイスでは約40の不正タスクや21のキャンペーンが確認されており、開発者のコメントによると、このテンプレートシステムによって専門知識の乏しいオペレーターでも低コストで運用できるように設計されていたという。

収益構造と運営会社

Bitsightは、Fuyaoの収益化ルートを追跡し、運営者が所有する144個のドメインを特定した。そのうち少なくとも84個にはTaboola（レコメンデーション広告ネットワーク）のタグが埋め込まれており、香港やシンガポールの収益受け取りエンティティに紐付いていることが判明した。

Bitsightはデバイス1台あたり1日1.25ドルの総収益が得られると試算している。観測された約38,000台がすべてアクティブであると仮定した場合、その総額は1日あたり約47,500ドルに上る。また、広告不正としての検知率を30〜40%、広告の表示割合（アドフィルレート）を70%とし、Fengwoが広告しているフリートサイズを基準に置くと、年間収益は最大4000万ドル規模に達する可能性があると推定している。ただし、これらは試算値であり、実際に確認された売上ではない。

この活動がFengwoに帰属する根拠として、Bitsightは共通のTLS（暗号化通信）証明書データ、流出した社内Wikiファイル、再利用されたメールアドレス、収益化リンク、および中国で登録された特許情報を挙げている。特許データベースによると、Zhejiang Fengwoはデジタルヒューマンの動作モジュールの追跡技術（特許番号：CN117421142B）の権利者として登録されている。

Googleの対応と調査の経緯

GoogleはThe Hacker Newsに対し、被害が確認されているノンブランドのデバイスは「Play Protect（端末の安全性を監視するGoogleのセキュリティ機能）」の認定を受けていないAndroidデバイスであることを明らかにした。Play Protect認定デバイスはセキュリティテストをクリアしているが、非認定デバイスは安全性が保証されておらず、出荷時点でバックドアアプリが仕込まれている危険性がある。

Bitsightは、工場出荷時に仕込まれていたバックドア用の期限切れドメインを登録し、その通信をトラップする「シンクホール（通信を引き込む監視手法）」を構築することで、この全貌を明らかにした。ある1日の観測では、Fuyaoアプリを搭載したデバイスから65,957件のレポートが届き、ユニークなMACアドレスは約38,000件に達した。ただし、デバイスの識別子がローテーションする仕様であるため、物理的なデバイス数がこれと正確に一致するかは不明である。